Betrokken versies en wat te doen

OVHcloud heeft bevestigd dat een kwaadwillende partij de gepubliceerde binaire bestanden van vijf versies van hun commandoregelhulpmiddel, OVHcloud CLI, heeft vervangen door malafide versies die bedoeld zijn om geheime gegevens op de harde schijf van het systeem te stelen. Het incident vond plaats op maandag 19/10/2026 en betreft de versies v0.11.0, v0.12.0, v0.13.0, v0.14.0 en v0.15.0 die gedownload zijn vanaf GitHub. Personen die op die dag de tool hebben geïnstalleerd of bijgewerkt, worden dringend geadviseerd deze te verwijderen, de versie v0.16.0 te installeren en alle credentials op hun systemen te wijzigen.

Het korte overzicht van de aanval op OVHcloud CLI in 20 seconden

• Gerapporteerde versies: van v0.11.0 tot v0.15.0. Versies v0.10.0 en de nieuwste v0.16.0 worden volgens OVHcloud als schoon beschouwd.
• De kwaadaardige bestanden zijn gepost tussen 14:47 en 16:21 uur (peninsulaire tijd).
• De aanvaller heeft gebruikgemaakt van de GitHub-account van een ontwikkelaar.
• Indien je getroffen bent, wijzig dan alle geheime gegevens op je systeem.

De waarschuwing werd afgegeven door Octave Klaba, oprichter van OVHcloud, via het social mediakanaal X. Een belangrijk detail: “14:47” refereert niet aan een versie, maar aan het tijdstip waarop de malafide versie verschenen is. OVHcloud detecteerde en blokkeerde de versie om 16:21 uur, na melding door een klant. Een eerste beoordeling heeft geen andere repositories aangetroffen die getroffen zouden kunnen zijn.

Wat gebeurde er op de GitHub-repository?

Volgens Klaba gebruikte de aanvaller de GitHub-account van één van de ontwikkelaars en voegde een binair toe dat bedoeld is om geheime gegevens van de harde schijf te halen. Klaba nuanceert dat “de kwaliteit van het binair slecht is, maar het kan alsnog de uiteindelijke doelen bereiken”. Het bedrijf blijft het kwaadaardige code analyseren en belooft later meer details vrij te geven.

Volgens de reconstructie door The Hacker News en onderzoekers van OpenSourceMalware heeft de aanval geen invloed gehad op de broncode, tags of de continuous integration-pijplijn. De aanvaller heeft de downloads van al gepubliceerde versies vervangen door nieuwe, gecompileerde bestanden met dezelfde naam. Dit was mogelijk omdat de repository geen versie-mutatibiliteit had ingeschakeld, een instelling die het wijzigen van gepubliceerde versies voorkomt. Klaba erkende dat deze optie niet actief was, maar is nu ingeschakeld door OVHcloud.

Specifiek in versie v0.15.0 zijn de pakketten voor macOS (Intel en Apple Silicon), Linux (x86_64 en ARM64) en Windows (x86_64) vervangen, evenals het checksums.txt-bestand dat aangepast werd zodat de checksum overeenkwam met de malafide binaries. Een continue integratieproces van een klant, die de originele hash had vastgelegd, detecteerde de wijziging en diende een openbaar incident in. Hoe precies de inloggegevens van de ontwikkelaar gestolen zijn, is niet duidelijk. OpenSourceMalware linkt de betrokken account mogelijk aan de campagne GlassWorm, maar dit is een voorlopige conclusie die niet bevestigd is.

Wie wordt getroffen en wat moet je doen?

Het risico ligt bij iedereen die handmatig of via scripts één van deze binaries van GitHub heeft gedownload tijdens de aanvalstijd of de tool heeft bijgewerkt met een eigen update-commando binnen dat tijdsvenster. Volgens The Hacker News waren degenen die via Homebrew hebben geïnstalleerd, niet geïnfecteerd omdat Homebrew de originele hashes had vastgesteld. Ook compilaties van de broncode en gebruik van de Docker-images worden niet als risico beschouwd. OVHcloud heeft niet meegedeeld hoeveel kopieën er precies gedownload zijn.

De tool slaat API-credentials van OVHcloud op in het bestand ~/.ovh.conf en leest deze ook uit omgevingsvariabelen, daarom is het essentieel deze te wijzigen. De bredere aanbeveling van OVHcloud is echter om alle geheime gegevens op het systeem te vernieuwen, waaronder SSH-sleutels, tokens van andere cloud-provider, Git-credentials en wachtwoorden in configuratiebestanden. De volgende stappen worden aanbevolen:

1. Verwijder de geïnfecteerde binary en installeer versie v0.16.0, die als onveranderlijke release wordt aangeboden.
2. Wijzig je credentials op een ander systeem, niet vanaf de gecompromitteerde machine.
3. Int passeer en regenerateer je API-sleutels en andere geheime gegevens op je systemen.
4. Controleer downloads zorgvuldig voordat je ze gebruikt en Zet hashes vast in scripts en continuous integratie.

Gebruik de GitHub CLI-tool om te verifiëren dat een gedownloade file overeenkomt met de officiële versie:

gh release verify-asset v0.16.0 NAAM_VAN_HET_BESTAND --repo ovh/ovhcloud-cli

Dit incident volgt kort nadat ook andere software, zoals Rank Math SEO PRO 3.0.123, werd getroffen door malware via officiële distributiekanalen. In het geval van OVHcloud was er geen exotisch beveiligingslek: het ging om een gecompromitteerde account met schrijfrechten en een onvolledig beveiligde GitHub-instelling. Het bedoelde vertrouwen dat de tool biedt voor server- en cloud-credentials wordt daarmee geraakt.

Veelgestelde vragen

Welke versies van OVHcloud CLI zijn getroffen?

De versies v0.11.0, v0.12.0, v0.13.0, v0.14.0 en v0.15.0 die op 19/10/2026 van GitHub zijn gedownload. OVHcloud meldt dat v0.10.0 en v0.16.0 ongeschonden zijn.

Bestaat de versie 14.47 van OVHcloud CLI echt?

Nee. 14:47 is de tijdstempel waarop de kwaadwillige versie verscheen, niet een versienummer. OVHcloud heeft deze versie om 16:21 geblokkeerd.

Ben ik getroffen als ik OVHcloud CLI heb geïnstalleerd via Homebrew of Docker?

Volgens The Hacker News niet: Homebrew controleerde de hashes en de Docker-afbeelding werd niet gewijzigd. Ook de compilaties vanaf de broncode zijn niet aangetast.

Wat moet ik doen als ik een getroffen versie heb uitgevoerd?

Verwijder de binary, installeer versie v0.16.0 en wijzig alle geheime gegevens op je systeem, te beginnen met je OVHcloud API-credentials vanaf een ander apparaat.

Bronnen: