OVHcloud CLI：标签没变，管道换了
OVHcloud CLI 在 GitHub 上的发布二进制文件被替换为窃密版本
被劫持的 GitHub 账号替换了 OVHcloud CLI 0.11.0–0.15.0 的二进制文件。调查者将替换窗口定位为 10月19日 12:47–14:21 UTC。源码构建和 Docker 镜像未被替换；运行投毒文件会暴露主机上可读取的密钥。
- 披露时间
- 2026年10月19日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 在 10月19日替换窗口下载了受影响 OVHcloud CLI 发布附件的用户
- ovhcloud
- 在野利用
- 已发现
- 恶意发布附件通过官方仓库分发
发生了什么
仅锁定版本号没能阻止暴露：攻击者替换了已有发布 URL 背后的文件。重装可以移除二进制文件，却无法吊销它已经读走的密钥。下载数量和完整的初始入侵路径仍不清楚。云管理工具遭恶意投毒，因此定为 L4。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| OVHcloud CLI | 0.16.0 | 干净的不可变发布，带有来源证明 |
案发时间线
10月19日 12:47–14:21 UTC
GitHub 已有发布附件遭替换，随后被移除
10月19日 17:16 UTC
发布干净的 0.16.0，附件设置为不可变
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- OVHcloud 仓库 issue #300一手来源报告者记录了被替换的发布附件及构建元数据
- OVHcloud 0.16.0 发布一手来源10月19日发布；附件不可变，带有来源证明
- OpenSourceMalware一手来源重建 UTC 暴露窗口；源码构建和 Docker 不受影响；GlassWorm 归因仍属研判