OVHcloud CLI: Angreifer tauschten offizielle GitHub-Downloads gegen Malware aus
Zwischen 14:47 und 16:21 Uhr deutscher Zeit am 19. Oktober 2026 konnten Nutzer der offiziellen OVHcloud-Kommandozeilenverwaltung manipulierte Installationsdateien herunterladen. Der Cloud-Anbieter bestätigt, dass Angreifer mit einem kompromittierten Entwicklerkonto bestehende Release-Anhänge auf GitHub durch schädliche Binärdateien austauschten. Die kurze Dauer macht die Eingrenzung ungewöhnlich präzise.
Diese Versionen und Nutzer sind betroffen
OVHcloud nennt die Releases v0.11.0 bis v0.15.0. Relevant sind nach eigener Untersuchung ausschließlich Anwender, die entsprechende Dateien in dem genannten Zeitfenster neu heruntergeladen und verwendet haben. Bereits vor dem 19. Oktober bezogene unveränderte Kopien seien nicht betroffen. Der Quellcode und die Build-Infrastruktur blieben nach Darstellung des Unternehmens sauber. Die anschließend veröffentlichte Version 0.16.0 gilt als nicht betroffen.
Die betroffenen Downloads gab es für Windows, Linux und macOS. Das ist kein allgemeiner Sicherheitsfehler in sämtlichen OVHcloud-Servern, sondern ein Vorfall bei der Verteilung der CLI-Werkzeuge. Dennoch kann die Konsequenz für Administratoren gravierend sein: Ein Werkzeug zur Cloud-Verwaltung arbeitet häufig mit weitreichenden API- und Zugangsschlüsseln.
Warum signierte oder offiziell verlinkte Releases kein absoluter Schutz sind
GitHub-Release-Dateien werden üblicherweise als zuverlässig wahrgenommen, wenn sie im offiziellen Repository liegen. Hier war der Verteilort tatsächlich legitim; die Inhalte wurden nachträglich ausgetauscht. OVHcloud hat nach eigenen Angaben die Einstellungen zur Unveränderlichkeit von Releases korrigiert. Der Angriff zeigt, warum Prüfsummen und unabhängige Prüfungen auch bei etablierten Projekten relevant bleiben.
Sicherheitscheck für Administratoren
- Downloadzeit prüfen: Zeitpunkt aus Browserhistorie, CI/CD-Logs oder Paketarchiv mit 19. Oktober, 14:47–16:21 Uhr CEST, abgleichen.
- Installationspaket prüfen: Ausschließlich die offiziellen Hashwerte und Hinweise des OVHcloud-Sicherheitsberichts nutzen. Eine verdächtige Binärdatei nicht erneut ausführen.
- Exponierte Geheimnisse wechseln: Bei Ausführung eines betroffenen Pakets insbesondere OVHcloud-API-Schlüssel, SSH-Zugänge und weitere auf dem Gerät erreichbare Secrets erneuern.
- Saubere Umgebung herstellen: System forensisch überprüfen, relevante Protokolle sichern und das Werkzeug nur aus einer offiziellen, nachweisbar sauberen Version neu installieren.
Ein bloßes Upgrade auf Version 0.16.0 bereinigt nicht automatisch mögliche Folgeschäden, falls die Schadsoftware bereits ausgeführt wurde. Den Umfang des weiteren Zugriffs muss eine konkrete Prüfung klären. Passende Grundsätze zur Wiederherstellung nach Cybervorfällen gelten auch hier.
Primärquelle: OVHcloud – offizieller GitHub-Sicherheitshinweis mit Versionen, Zeitfenster und Prüfschritten.
