OVHcloud CLI piégé : cinq versions ont pu exposer vos clés d’accès

Concerné ?

Vérifiez votre version si vous avez téléchargé ou mis à jour OVHcloud CLI le 19 octobre 2026 : les versions visées vont de v0.11.0 à v0.15.0.

Cet outil permet de gérer des serveurs et d’autres services depuis un terminal. Les versions v0.10.0 et v0.16.0 sont indiquées comme saines. Avoir un compte OVHcloud ne suffit pas à être concerné : c’est l’installation d’une version piégée qui compte.

Comment on le sait

Un programme cherchant les accès stockés sur le disque a été ajouté au dépôt GitHub de l’outil. Frandroid rapporte le 19 octobre 2026 que l’attaque a commencé à 14 h 47 et a été bloquée à 16 h 21. Les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 sont signalées comme compromises.

Ce qu’on ne sait pas : Le nombre de téléchargements concernés et les accès effectivement récupérés ne sont pas établis. On ignore aussi comment le compte GitHub du développeur a été pris.

Le risque

Des clés présentes sur l’ordinateur ont pu donner accès à des serveurs ou à d’autres services.

Le programme cherchait notamment des clés API OVHcloud, des clés SSH, des jetons GitHub et des mots de passe conservés en clair. La source n’établit aucune utilisation des accès qu’il aurait récupérés. Le renouvellement reste nécessaire pour les accès présents sur une machine où une version piégée a été installée.

Le contexte

• En juin 2026, un autre logiciel piégé, IronWorm, avait infecté 36 bibliothèques de code et pouvait voler des mots de passe et des clés d’accès, d’après 01net le 5 juin 2026.
• Le piégeage de logiciels distribués aux développeurs avait déjà été observé en septembre 2025 : du code malveillant avait été injecté dans des modules npm, selon 01net le 11 septembre 2025.

Quoi faire maintenant

Si vous avez installé l’une des versions visées le 19 octobre, contrôlez le numéro de version avant de renouveler vos accès.

1. Dans un terminal, tapez ovhcloud version. En cas de doute sur une installation du 19 octobre, suivez les étapes suivantes.
2. Supprimez le programme piégé, installez la v0.16.0 par le script officiel ou Homebrew, puis contrôlez à nouveau le numéro de version.
3. Dans votre compte OVHcloud, révoquez vos clés API et créez-en de nouvelles avec ovhcloud login.
4. Changez ensuite les autres accès présents sur la machine : clés SSH, jetons GitHub, identifiants d’autres services et mots de passe enregistrés en clair. Si l’outil tournait aussi dans une chaîne d’intégration continue, changez les accès de cette machine.