Le 19 octobre 2026, un pirate a compromis l’outil CLI d’OVHcloud pendant 1h34, infectant cinq versions avec un malware voleur de secrets. Au-delà de l’incident technique, les coûts cachés s’accumulent : régénération de secrets, audits forensiques, hausse des primes d’assurance. Pour les PME et ETI clientes, la facture pourrait atteindre plusieurs millions d’euros.
Piratage OVH : pourquoi votre PME doit agir maintenant
By
Published on 20 octobre 2026 14h20
Le 19 octobre 2026, entre 14h47 et 16h21, un pirate a utilisé l'outil en ligne de commande d'OVHcloud pour infiltrer des systèmes. En 1h34, cinq versions du CLI officiel ont été infectées par un malware capable de voler des clés API, des tokens GitHub, des identifiants SSH et des mots de passe. Pour les PME et ETI s'appuyant sur cet outil dans leurs chaînes d'automatisation, la facture pourrait s'élever à plusieurs millions d'euros.
Une attaque ciblant les clients d'OVHcloud
Le pirate a exploité le compte GitHub d'un développeur d'OVH, actif dans la documentation. Le compte était sous contrôle du pirate depuis au moins le 5 mars 2026, selon Frandroid. Pendant six mois, le pirate a préparé son attaque en injectant un chargeur Unicode invisible dans quatre dépôts personnels. Le 19 octobre, il a remplacé les archives des versions 0.11.0 à 0.15.0 du CLI en seulement 25 minutes, modifiant le fichier checksums.txt pour dissimuler sa manipulation. Son but : dérober les secrets d'accès stockés sur les disques des administrateurs système téléchargeant ces versions piégées.
1h34 d'exposition : un impact économique majeur
La durée de l'attaque, bien que courte, a eu un impact significatif. Durant cette période, des milliers de développeurs et d'équipes DevOps ont pu télécharger le malware. OVHcloud n'a pas précisé le nombre de victimes, mais chaque téléchargement expose à un risque d'accès non autorisé aux infrastructures de production. Un client a détecté l'anomalie grâce à une vérification SHA-256 défaillante lors d'une installation automatique. Sans cette alerte, l'exposition aurait pu se prolonger. Octave Klaba, fondateur d'OVHcloud, a admis : « La qualité du binaire est médiocre mais il peut aller jusqu'au bout. » Cela signifie que le malware était fonctionnel, même s'il était mal codé.
La chaîne d'approvisionnement : un risque économique majeur
Cette attaque montre que les pirates ciblent désormais les outils développeur plutôt que les serveurs eux-mêmes. Un seul compte GitHub compromis avec droits d'écriture a suffi à potentiellement infecter des centaines d'organisations. Les chaînes CI/CD automatisées, qui installent les outils sans intervention humaine, facilitent la propagation rapide du malware. Pour les entreprises, la chaîne d'approvisionnement logicielle représente un risque financier important. Clubic rapporte qu'OVHcloud avait obtenu la qualification SecNumCloud six semaines avant l'incident, ce qui interroge sur l'efficacité des audits de sécurité.
Les conséquences financières pour les PME et ETI
Les coûts directs du piratage sont difficiles à évaluer sans connaître le nombre exact de victimes, mais les coûts indirects montent vite. Une PME qui découvre avoir installé le CLI compromis doit geler ses accès cloud, auditer ses logs, identifier les secrets exposés et régénérer toutes ses clés. Selon le secteur, un audit de sécurité post-incident coûte entre 15 000 et 50 000 euros pour une entreprise de 50 à 200 personnes. Pour une ETI, la facture peut atteindre plusieurs centaines de milliers d'euros.
Le coût élevé de la régénération des secrets
La simple suppression du CLI infecté est insuffisante. Tous les secrets transitant par cet outil doivent être considérés comme compromis. Cela inclut les clés API OVH, les tokens GitHub, les identifiants SSH, les certificats TLS et les mots de passe d'accès aux bases de données. Régénérer ces secrets nécessite la coordination de plusieurs équipes (développeurs, ops, sécurité), la mise à jour des configurations dans les pipelines CI/CD, et le redéploiement des applications en production.
Les mesures de protection à adopter
Face à ces attaques, les entreprises doivent revoir leur sécurité des outils développeur. Premièrement, vérifier systématiquement les signatures et checksums des binaires téléchargés, y compris dans les scripts d'automatisation. OVHcloud a publié une version 0.16.0 signée et immuable pour éviter les modifications futures. « Cette version est immuable, donc fiable », a précisé l'équipe de maintenance du projet. Cependant, peu d'organisations vérifient réellement ces signatures avant installation. Borncity indique que la plupart des pipelines CI/CD téléchargent et installent sans vérification d'intégrité.