OVHcloud CLI piraté : comment une extension installée il y a un an a piégé un outil officiel
Un outil officiel, téléchargé depuis la page officielle, d’un fournisseur infonuagique connu. Pendant environ une heure et demie le 19 octobre, ce téléchargement installait aussi un voleur de mots de passe. C’est ce qui est arrivé à l’outil en ligne de commande OVHcloud CLI, et la cause remonte à une simple extension installée un an plus tôt.
Peu de PME utilisent elles-mêmes l’OVHcloud CLI. Mais votre développeur web, votre pigiste ou votre fournisseur TI ont sur leur portable des outils tout à fait semblables, et des clés qui ouvrent votre site, votre hébergement et parfois votre Microsoft 365. C’est ce maillon-là que l’histoire met en lumière.
OVHcloud CLI : un an entre l’infection et l’attaque
De l’extension piégée au correctif (heures de Montréal)
20 octobre 2025
Une extension de sélecteur de couleurs
Un développeur d’OVHcloud installe l’extension « color-picker-universal » sur son MacBook personnel. Elle est liée au groupe GlassWorm et vole discrètement des identifiants.
Mars 2026
Les dépôts personnels réécrits
Plusieurs dépôts personnels du même compte GitHub sont modifiés avec un chargeur caché. Personne ne fait le lien avec OVHcloud.
19 octobre, 8 h 47 HAE
Le piège est posé
Avec les clés volées, le pirate remplace les fichiers déjà publiés des versions 0.11.0 à 0.15.0 de l’outil en ligne de commande. Aucun code source n’est touché.
19 octobre, 9 h 50 HAE
Un client remarque l’anomalie
Son système vérifie l’empreinte (le « hash ») de chaque fichier téléchargé. Elle a changé : il ouvre un signalement public.
19 octobre, 10 h 21 HAE
Les fichiers piégés sont retirés
Environ une heure et demie en ligne, quelque 250 téléchargements selon OVHcloud.
19 octobre, 13 h 16 HAE
Une version propre
La version 0.16.0 est publiée, avec des publications désormais verrouillées (immuables).
Le point clé : le pirate n’a pas eu besoin de pirater OVHcloud. Il a utilisé les accès d’un développeur légitime, volés des mois auparavant sur un ordinateur personnel. Et comme les publications GitHub du projet n’étaient pas verrouillées, un compte ayant les bons droits pouvait remplacer un fichier existant sans passer par les vérifications automatiques.
Ce que le voleur cherchait sur le disque
OVHcloud a publié la liste des fichiers ciblés. Elle donne une idée très concrète de ce qui dort sur l’ordinateur d’une personne technique :
Une seule de ces clés peut suffire à modifier votre site web, à lire vos sauvegardes ou à créer une boîte de courriel au nom de votre entreprise. C’est pour ça qu’OVHcloud demande aux personnes touchées de changer tous les secrets du poste, pas seulement ceux d’OVHcloud.
Êtes-vous touché par l’incident OVHcloud CLI?
| Votre situation | Êtes-vous touché? | Quoi faire |
|---|---|---|
| Installé ou mis à jour le CLI le 19 octobre entre 8 h 47 et 10 h 21 (HAE), puis lancé | Oui, considérez-le | Changez ou désactivez tous les secrets présents sur ce poste, supprimez le binaire, installez la 0.16.0 |
| Téléchargé une version 0.11 à 0.15 avant le 19 octobre | Non | Passez quand même à la 0.16.0 |
| Installé à partir du code source, avec « go install » ou l’image Docker officielle | Non | Rien de particulier |
| Vous ne savez pas qui, chez vous ou chez votre fournisseur, utilise cet outil | À vérifier | Cherchez un dossier « envchecker- » suivi de chiffres dans le dossier temporaire des postes concernés : sa présence trahit le voleur |
Si votre site ou vos serveurs sont gérés par quelqu’un d’autre, la question à lui poser est simple : « Avez-vous installé ou mis à jour l’OVHcloud CLI le 19 octobre? » Une réponse claire en une journée est un bon signe.
👏 Ce que l’incident montre de bon
Un client qui vérifiait automatiquement l’empreinte de ses téléchargements a donné l’alerte en une heure, et OVHcloud a publié une chronologie détaillée et la liste des fichiers visés dès le lendemain. Cette transparence est exactement ce que vous voulez de vos propres fournisseurs : posez-leur la question avant l’incident, pas après.
Sept réflexes pour les postes qui ont vos clés
La leçon dépasse OVHcloud. Des campagnes comme GlassWorm visent les extensions d’éditeurs de code et les comptes de développeurs depuis 2025, justement parce qu’un seul poste ouvre de nombreuses portes.
À vérifier ce mois-ci
- ☐ Faites la liste des personnes (employés, pigistes, agence web) qui ont des clés de vos serveurs, de votre hébergement ou de votre Microsoft 365 sur leur propre ordinateur.
- ☐ Exigez l’authentification multifacteur sur GitHub, chez l’hébergeur et sur les consoles infonuagiques, et retirez les accès des anciens collaborateurs.
- ☐ Pas de clés de production sur un portable personnel : un poste de travail géré, chiffré, avec antivirus et mises à jour.
- ☐ Limitez les extensions d’éditeur de code à une liste approuvée. Un « sélecteur de couleurs » n’a pas besoin de lire vos fichiers de configuration.
- ☐ Préférez des clés à durée de vie courte et à portée limitée, et rangez les autres dans un gestionnaire de secrets plutôt que dans des fichiers texte.
- ☐ Quand un outil propose une empreinte (hash) ou une signature, vérifiez-la : c’est exactement ce qui a permis de repérer l’attaque en une heure.
- ☐ Notez où chaque secret est utilisé. Le jour où il faut tout changer, vous saurez par où commencer.
Ces réflexes rejoignent ceux de deux autres incidents récents : la clé volée chez ConnectWise Cloud Backup, qui a ouvert des locataires Microsoft 365, et les 8 questions à poser à votre hébergeur web. Le même raisonnement s’applique aux assistants de code IA, comme on l’a vu avec le rançongiciel Aurora.
Chez NeoTech, nos services de cybersécurité commencent par l’inventaire des accès : qui détient quelle clé, sur quel appareil. Pour vos serveurs et votre hébergement, voyez aussi nos services infonuagiques; une surveillance automatisée 24/7 avec intervention du technicien de garde repère ensuite les connexions inhabituelles à vos comptes.
Réservez votre Bilan cyber gratuit
Vous ne savez pas exactement qui, à l’interne ou chez vos fournisseurs, garde des clés de votre site, de votre hébergement ou de votre Microsoft 365? Le Bilan cyber gratuit commence par là : on dresse la liste des accès, on repère ceux qui sont de trop, puis on vous remet un plan clair.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- OVHcloud (GitHub) : ovhcloud-cli security incident, avis GHSA-862f-55f5-vmvw (20 octobre 2026) (en anglais)
- GitHub ovh/ovhcloud-cli, issue #300 : le signalement du client (19 octobre 2026) (en anglais)
- BleepingComputer : OVHcloud CLI releases backdoored on GitHub to steal developer secrets (20 octobre 2026) (en anglais)
- SecurityWeek : Hijacked Developer Account Used to Plant Stealer in OVHcloud CLI (21 octobre 2026) (en anglais)
Photo : Nemuel Sereti, Pexels (licence Pexels).
One thought on “OVHcloud CLI piraté : comment une extension installée il y a un an a piégé un outil officiel”