2026-10-24 09:46:57 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

OVHcloud CLI GitHub 发布遭劫持窃取开发人员机密

Bill Toulas
Bill Toulas

代码卫士

2026年10月21日 14:44
北京

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

法国云与托管服务提供商OVHcloud提醒用户称，开源命令行界面(CLI)工具遭入侵，被用于分发信息窃取恶意软件。

攻击者劫持了一名开发者的GitHub账户，从而获得对 OVHcloud CLI 仓库的访问权限，并修改了该工具0.11.0至0.15.0版本。该CLI工具是系统管理员和开发人员直接从终端管理云与托管服务（包括用于自动化任务）的一个替代选择。

OVHcloud公司首席执行官Octave Klaba披露称，该公司在GitHub上的CLI仓库已遭入侵，并敦促昨天下载了最新版本的用户更新或删除该工具。Klaba表示，被入侵的版本出现于10月19日14:47，在一名客户报告后于16:21被检测到并阻止。

受影响版本

他表示：“受影响的版本是v0.11.0、v0.12.0、v0.13.0、v0.14.0、v0.15.0。”并补充表示较旧的0.10.0版本和最新发布的0.16.0版本不受影响。Klaba解释称，尽管该恶意软件质量较低，但它的目的是“从磁盘中获取密钥”。

Klaba在后来的更新中分享称，GitHub的发布不可变性设置处于禁用状态，导致具有足够权限的账户可以在不通过CI/CD检查的情况下修改现有发布。“包括单元测试、功能测试、CVE检测等在内的整套CI/CD流水线未受影响。”

OVHcloud已启用GitHub的发布不可变性功能，并认为该事件已解决。

然而，Klaba敦促下载了受感染CLI软件包的用户执行系统清理并撤销所有密钥。“该二进制文件质量很差，但它可以一路执行。如果你受到影响，请更改磁盘上的所有密钥。”

与 GlassWorm 攻击活动的关联

据社区驱动的威胁情报平台OpenSourceMalware称，此次攻击很可能是GlassWorm最新活动的一部分。该活动以自2025年末以来因影响VSCode、OpenVSX、GitHub和npm软件开发生态系统的攻击活动而为人所知。

研究人员证实称，攻击者并未篡改CI/CD流水线，而是上传了在本地构建的感染恶意软件的软件包。研究人员指出，此次攻击中使用的GitHub账户已被入侵超过半年。

OpenSourceMalware公司的研究人员发现：“其公开仓库显示，2026年3月5日发生过一次脚本化的历史重写，以及一个隐藏的preinstall.js加载器使用Solana memo死投点解码到第二阶段。”

尽管关联钱包是一个已知的GlassWorm指标，但研究人员并未分析通过OVHcloud CLI木马化版本投递的恶意载荷。OpenSourceMalware发布报告称，受影响平台包括macOS（Intel和ARM）、Linux（x86\_64和ARM64）以及Windows x86-64。源码构建和Docker镜像未受影响。

任何运行过受影响二进制文件的用户都应将机器上的所有密钥视为已泄露。

代码卫士试用地址：https://sast.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com/

推荐阅读

在线阅读版：《2025中国软件供应链安全分析报告》全文

恶意 GitHub Actions 工作流被植入数万个仓库，窃取凭据

GitLab 邮件地址可用于供应链攻击

Brevo 供应链攻击将 ClickFix 脚本注入客户网站

Anthropic、谷歌和OpenAI 的编程代理严重漏洞可致RCE和供应链攻击

GitHub 内部仓库疑遭未授权访问，TeamPCP 据称正在出售 GitHub 内部源代码

TeamPCP再发动供应链攻击；数百个恶意包被上传，RubyGems 暂停新账号注册

“冬虫夏草”供应链漏洞影响数千家组织机构的代码仓库