A 19 de outubro de 2026, a conta GitHub comprometida de um programador da OVHcloud foi usada para substituir os ficheiros das versões v0.11.0 a v0.15.0 do ovhcloud-cli por uma compilação adulterada que rouba chaves SSH e credenciais de nuvem. Houve cerca de 250 transferências antes da remoção; quem instalou a ferramenta nesse intervalo deve renovar os seus segredos.
O que aconteceu
A 19 de outubro de 2026, entre as 14:47 e as 16:21 (hora de Paris), os binários oficiais do ovhcloud-cli, a ferramenta de linha de comandos para gerir contas e serviços OVHcloud, foram substituídos no GitHub por cópias maliciosas. Segundo o aviso de segurança da OVHcloud, foi usada a conta GitHub comprometida de um dos seus programadores para trocar os ficheiros das versões v0.11.0 a v0.15.0 para macOS, Linux e Windows. Um cliente reparou porque a sua CI fixa as somas de verificação dos ficheiros e comunicou-o publicamente às 15:50. Os ficheiros foram removidos às 16:21 e às 19:16 foi publicada uma v0.16.0 limpa, assinada e imutável. A OVHcloud contabiliza cerca de 250 transferências no período.
Como os atacantes entraram
A OVHcloud indica que o portátil pessoal do programador tinha sido infetado um ano antes, a 20 de outubro de 2025, por uma extensão maliciosa de editor de código ligada ao grupo Glassworm; as chaves roubadas na altura serviram para carregar os ficheiros. O repositório não impunha versões imutáveis, pelo que ficheiros já publicados podiam ser substituídos. O código-fonte, a cadeia de compilação e a CI interna da OVHcloud não foram afetados, segundo a empresa. A CLI adulterada funciona normalmente, mas recolhe chaves SSH, credenciais AWS, Google Cloud e Azure, configurações Docker e Kubernetes, tokens npm, Terraform e DigitalOcean, .netrc, definições Git e dados de editores de código e assistentes de IA, enviando depois o arquivo para um servidor remoto.
O que fazer agora
- Verifique se transferiu a CLI a 19 de outubro entre as 14:47 e as 16:21 (hora de Paris), em postos de trabalho, runners de CI e servidores.
- Não execute o binário: calcule o hash com
md5sume compare-o com os cinco hashes MD5 publicados no aviso. - Procure o rasto do malware: uma pasta
envchecker-seguida de algarismos no diretório temporário (ls -d /tmp/envchecker-*, ou em$TMPDIRno macOS). - Se for afetado: considere comprometidos todos os segredos da máquina, revogue e substitua chaves SSH, chaves de nuvem, ficheiros kubeconfig e tokens de registo ou npm, e por precaução as chaves de API OVHcloud; bloqueie
45.32.148.174e analise os registos da nuvem. - Reinstale a versão v0.16.0 ou posterior.
A nossa opinião
Uma ferramenta de administração instalada num posto ou num runner de CI guarda as chaves de toda a infraestrutura. Fixe e verifique as somas de verificação dos binários que transfere, como fez o cliente que deu o alerta, evite segredos de longa duração em ficheiros em texto simples e acompanhe as extensões instaladas nas máquinas dos programadores.
Fontes
- OVHcloud (GitHub security advisory) — ovhcloud-cli security incident - October 19th, 2026
- GitHub ovh/ovhcloud-cli — Release assets of v0.13.0–v0.15.0 replaced on 2026-10-19
- ZDNET France — OVHcloud : une attaque sur son compte GitHub expose ses utilisateurs à un malware
Como escolhemos, verificamos e escrevemos nossas análises →
A porta de entrada foi um terceiro. Verifique o que seus fornecedores expõem publicamente — sem intrusão, apenas informações públicas:
Preocupado com a exposição dos seus servidores? Nossa equipe audita, corrige e monitora infraestruturas Linux e cloud 24/7.
Fale com um especialista Nossos serviços de gestão de servidores →
