L’alerte est venue d’Octave Klaba, fondateur et président de l’hébergeur, sur le réseau social X. Le dirigeant a expliqué qu’un hacker était parvenu à piéger l’outil en ligne de commande d’OVHcloud (command line interface ou CLI), dans la version mise en ligne à 14 h 47 sur GitHub. Ce programme est ainsi en capacité de scruter le disque du PC pour dérober des informations sensibles, telles que vos identifiants d’accès aux serveurs et aux services.
Le PDG explique : « Si vous avez téléchargé aujourd’hui la dernière version de CLI d’OVHcloud, merci de la mettre à jour à nouveau très rapidement. Sinon effacer. » Pour commettre son méfait, le pirate a utilisé le compte GitHub d’un développeur d’OVHcloud, précise Frandroid, pour y ajouter un programme prêt à être exécuté, qui lui permet de récupérer des éléments présents sur la machine du client.
Que faire si vous êtes concerné ?
Si vous avez téléchargé aujourd'hui la dernière version de CLI d'OVHcloud, merci de la mettre à jour à nouveau très rapidement. Sinon effacer. Il s'agit de repo:https://t.co/NkMvygauAb
La version CLI de 14h47 a été compromise par un hacker. Nous l'avons détecté et bloqué à…
— Octave Klaba (@olesovhcom) October 19, 2026
Dans le détail, les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 sont compromises, tandis que la v0.10.0 est préservée, ainsi que celle publiée par la suite : la v0.16.0. Si vous êtes concerné par cette cyberattaque, voici la marche à suivre selon Octave Klaba.
Vous devez tout d’abord vérifier quelle version du CLI vous utilisez en tapant « ovhcloud version ». Si cette dernière fait partie de celles touchées, supprimez le programme et réinstallez-le avec le script officiel ou Homebrew.
Les hackers ayant potentiellement mis la main sur vos identifiants, il faut modifier vos clés API OVHcloud. Celles-ci se trouvent dans le fichier .ovh.conf de votre dossier personnel ou dans des variables d’environnement. Il faut les révoquer dans votre compte OVHcloud et en générer de nouvelles via « ovhcloud login ».
Pour terminer, nos confrères ajoutent : « Passez ensuite au reste : clés SSH, jetons GitHub, identifiants d’autres clouds, mots de passe écrits en clair dans des fichiers de configuration. Si le CLI tournait dans une chaîne d’intégration continue (les scripts qui testent et déploient le code automatiquement), changez aussi les secrets de cette machine. »
Dans la soirée, Octave Klaba en a finalement dit un peu plus sur ce problème :
Nous avons terminé l’analyse. L’ensemble de pipelines CI/CD avec de tests unitaires, les tests fonctionnaires, la detection de CVE etc n’ont pas été impactés. Le problème vient de l’option l’immutabilité des releases sur Github qui n’a pas été activée. Donc un user avec les bons droits pouvait modifier les releases existantes directement sur Github sans qu’aucun contrôle sur notre CI/CD. L’option a été activée. Fin de l’incident. Désolé pour les impacts que cela a pu provoquer.
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
