Security · 20.10.2026
Über ein kompromittiertes GitHub-Konto wurden fünf Releases des OVHcloud-Kommandozeilenwerkzeugs mit Schadsoftware infiziert, die sensible Zugangsdaten ausliest.
Ein unbekannter Angreifer hat das GitHub-Konto eines Entwicklers übernommen und die Download-Archive von fünf bestehenden Releases des OVHcloud-Kommandozeilentools (CLI) manipuliert. Die modifizierten Versionen enthielten Schadcode, der darauf ausgelegt ist, lokal gespeicherte Geheimnisse und Zugangsdaten von infizierten Systemen zu entwenden. Der Vorfall ereignete sich am Montag, den 19. Oktober, und betrifft direkt die Integrität der Bereitstellungskette.
Zahlreiche Unternehmen im DACH-Raum nutzen die Infrastruktur von OVHcloud und steuern diese automatisiert über das betroffene CLI-Tool in ihren Build-Pipelines oder Administrations-Skripten. Wenn Administratoren oder Entwickler die manipulierten Versionen heruntergeladen und ausgeführt haben, könnten Angreifer unbemerkt Zugriff auf hochsensible API-Keys, Passwörter und Cloud-Ressourcen erlangt haben. Dies stellt ein erhebliches Supply-Chain-Risiko für die IT-Sicherheit dar, da die Schadsoftware im Kontext vertrauenswürdiger Administrationswerkzeuge mit entsprechenden Systemrechten ausgeführt wird. Ein Abfluss dieser Daten kann im schlimmsten Fall zu einer vollständigen Kompromittierung der Cloud-Infrastruktur führen.
IT-Verantwortliche und Systemadministratoren sollten dringend prüfen, ob in ihrer Infrastruktur die betroffenen OVHcloud-CLI-Releases am oder nach dem 19. Oktober heruntergeladen oder aktualisiert wurden. Es wird empfohlen, installierte CLI-Versionen mit den offiziellen, sauberen Hashes abzugleichen. Potenziell betroffene Systeme müssen umgehend isoliert und forensisch untersucht werden. Sämtliche API-Schlüssel, Passwörter, TLS-Zertifikate und Tokens, die auf den betroffenen Systemen hinterlegt waren, sollten unverzüglich widerrufen und neu generiert werden. Zudem sollten Unternehmen die Multi-Faktor-Authentifizierung (MFA) für alle Entwicklerkonten auf GitHub strikt vorschreiben, um solche Account-Übernahmen im Vorfeld zu verhindern.
Der Vorfall verdeutlicht erneut die kritische Verwundbarkeit moderner Software-Lieferketten durch kompromittierte Entwickler-Accounts. IT-Abteilungen müssen ihre Sicherheitsrichtlinien für Repositories verschärfen und kontinuierlich überwachen, um die Integrität ihrer eingesetzten Drittanbieter-Tools sicherzustellen.
Quelle: The Hacker News