OVHcloudのCLI配布ファイルが改ざん―クラウド認証情報やSSH鍵を窃取

OVHcloudは2026年10月20日、開発者のGitHubアカウントが悪用され、CLIの配布ファイルが情報窃取プログラムに差し替えられたと発表しました。ソースコードやビルド基盤ではなく、公開済みリリースのファイルが改ざんされています。

対象はv0.11.0〜v0.15.0で、改ざんファイルが公開されていたのは19日21時47分〜23時21分（日本時間）です。同じバージョンでも、それ以前に取得したファイルは対象外としています。

悪意ある処理はクラウドの認証情報、SSH鍵、AI開発ツールのローカルデータなどを収集します。既存リリースの変更を禁止する設定がなかったため、攻撃者は配布物を差し替えられました。同社は不正ファイルを削除し、変更不可の設定と正常なv0.16.0の公開を実施しています。

該当時間帯に取得・更新して実行した場合は、端末内の秘密情報が漏えいしたものとして失効・更新するよう求めています。更新版への入れ替えだけでは盗まれた鍵は無効になりません。影響確認は疑わしいファイルを実行せず、公式告知のハッシュ値と照合します。