フランスのクラウド・ホスティング事業者OVHcloudは、同社のオープンソースのコマンドラインインターフェース（CLI）ツールが侵害され、情報窃取型マルウェアの配布に悪用されたとして、利用者に警告しています。
攻撃者は開発者のGitHubアカウントを乗っ取り、OVHcloud CLIのリポジトリにアクセスしました。そして、同ツールのバージョン0.11.0から0.15.0までを改ざんしました。
OVHcloud CLIは、システム管理者や開発者がターミナルから直接クラウドやホスティングのサービスを管理するためのツールです。作業の自動化にも使えます。
OVHcloudのCEOであるOctave Klaba氏は、同社のGitHub上のCLIリポジトリが侵害されたことを明らかにしました。昨日最新版をダウンロードした利用者には、ツールを更新するか削除するよう呼びかけています。
Klaba氏によると、侵害されたリリースは10月19日14時47分に公開されました。顧客からの報告を受けて検知し、16時21分にブロックしました。
「侵害されたバージョンはv0.11.0、v0.12.0、v0.13.0、v0.14.0、v0.15.0です」とCEOは述べ、それより古い0.10.0と最新リリースの0.16.0は問題ないとしています。
Klaba氏は、マルウェアの品質は低いものの、目的は「ディスク上の機密情報（シークレット）の窃取」だったと説明しました。
その後の更新で、Klaba氏はGitHubのリリース不変性（release immutability）設定が無効になっていたことを明らかにしました。このため、十分な権限を持つアカウントであれば、CI/CDのチェックを経ずに既存のリリースを変更できる状態でした。
「単体テスト、機能テスト、CVE検知などを含むCI/CDパイプライン全体は影響を受けていません」
OVHcloudはGitHubのリリース不変性機能を有効化し、インシデントは解決したとの見解です。
ただしKlaba氏は、侵害されたCLIパッケージをダウンロードした利用者に対し、システムのクリーンアップと、すべてのシークレットの失効を求めています。
「バイナリの品質は低いですが、最後まで実行される可能性があります。影響を受けた場合は、ディスク上にあるすべてのシークレットを変更してください」
GlassWormとの関連
コミュニティ主導の脅威インテリジェンスプラットフォームOpenSourceMalwareによると、今回の攻撃はGlassWormによる新たな作戦の一環とみられます。GlassWormは2025年後半以降、VSCode、OpenVSX、GitHubやnpmといったソフトウェア開発のエコシステムに被害を与えてきた攻撃キャンペーンです。
研究者らは、攻撃者がCI/CDパイプラインには手を加えず、ローカルでビルドしたマルウェア入りのパッケージをアップロードしたことを確認しました。
研究者によると、攻撃に使われたGitHubアカウントは半年以上前から侵害されていたといいます。
「このアカウントの公開リポジトリには、2026年3月5日にスクリプトによる履歴の書き換えが行われた痕跡があります。また、隠されたpreinstall.jsローダーがあり、Solanaのメモを使ったデッドドロップで第2段階のペイロードにデコードされます」と、OpenSourceMalwareの研究者らは指摘しています。
関連するウォレットはGlassWormの既知の侵害指標（IoC）ですが、研究者らは、トロイの木馬化されたOVHcloud CLIを通じて配布された悪意のあるペイロードそのものは解析していません。
OpenSourceMalwareのレポートによると、影響を受けるプラットフォームはmacOS（IntelおよびARM）、Linux（x86_64およびARM64）、Windows x86-64です。ソースからのビルドとDockerイメージは影響を受けていません。
影響を受けたバイナリを実行した場合は、そのマシン上のすべてのシークレットが侵害されたものとして扱ってください。
