Вредоносные сборки OVHcloud CLI подменяли архивы на GitHub 94 минуты

19 октября 2026 года с 12:47 до 14:21 UTC архивы пяти версий OVHcloud CLI (v0.11.0–v0.15.0) на странице релизов GitHub были заменены сборками, читающими учётные данные с диска. Подмену заметил CI-пайплайн клиента с закреплённым SHA-256; OVHcloud выпустила неизменяемый релиз v0.16.0 и включила защиту релизов от изменений.

• Подменены шесть файлов v0.15.0, включая checksums.txt, и те же файлы в v0.11.0–v0.14.0
• Атака шла через скомпрометированный аккаунт контрибьютора с правом записи, CI/CD не участвовал
• Homebrew и go install не пострадали: хеши и теги остались прежними
• OVHcloud советует сменить все ключи на затронутых машинах и ставить v0.16.0