OVHcloud: Sicherheitsvorfall
Angreifer ersetzen CLI-Tool auf GibHub mit Malware-verseuchten Versionen.

Am 19. Oktober 2026 ersetzten Hacker manipulierte Binary-Versionen des quelloffenen Kommandozeilenwerkzeugs OVHcloud CLI im GitHub-Repository des französischen Cloud- und Hosting-Anbieters. Betroffen waren die Versionen 0.11.0 bis 0.15.0. Sie enthielten Schadsoftware, die Zugangsdaten und andere Geheimnisse von der Festplatte der Nutzer auslesen sollte.

Angreifer hatten das GitHub-Konto eines Entwicklers übernommen und so Zugriff auf das Repository erlangt. Laut OVHcloud-Chef Octave Klaba war die Einstellung zur Unveränderlichkeit von Releases (release immutability) bei GitHub deaktiviert. Dadurch konnte ein ausreichend privilegiertes Konto bestehende Releases ändern, ohne die CI/CD-Prüfungen zu durchlaufen. Die CI/CD-Pipelines selbst waren nach Angaben des Unternehmens nicht betroffen.

Die Forscher von OpenSourceMalware bestätigten, dass die infizierten Pakete lokal mit go gebaut und hochgeladen wurden. Das genutzte Konto war ihren Erkenntnissen zufolge seit mehr als einem halben Jahr kompromittiert. Es zeigte am 5. März 2026 einen skriptgesteuerten Umschrieb der Historie und einen versteckten Loader namens preinstall.js, der eine zweite Stufe über einen Solana-Memo-Dead-Drop nachlud. Die Forscher ordnen den Angriff wahrscheinlich einer neuen Kampagne der GlassWorm-Gruppe zu. Die Schadlast selbst analysierten sie nicht.

Die kompromittierte Version erschien um 14:47 Uhr und wurde um 16:21 Uhr nach dem Hinweis eines Kunden erkannt und blockiert. Betroffen sind laut OpenSourceMalware macOS (Intel und ARM), Linux (x86_64 und ARM64) sowie Windows x86-64. Source-Builds und Docker-Images blieben unberührt. Die Versionen 0.10.0 und 0.16.0 gelten als sauber.

OVHcloud aktivierte die Unveränderlichkeit von Releases und betrachtet den Vorfall als abgeschlossen. Wer eine betroffene Version ausgeführt hat, sollte das System bereinigen und sämtliche auf dem Rechner gespeicherten Geheimnisse widerrufen und ändern.