--- title: "Rilis OVHcloud CLI Disusupi Pencuri Data Selama 94 Menit" description: "Lima rilis lama ovhcloud-cli di GitHub sempat diganti biner pencuri secret pada 19 Oktober 2026. Cek versimu dan ganti semua kunci bila terdampak." url: "https://nivelva.com/insight/ovhcloud-cli-disusupi-pencuri-data" category: "Berita Teknologi" tags: ["ovhcloud","supply chain","github","keamanan","secret"] author: "Lucas Tan" published: "2026-11-12T16:15:00+07:00" updated: "2026-11-12T16:15:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Rilis OVHcloud CLI Disusupi Pencuri Data Selama 94 Menit > **Jawaban singkat:** Pada 19 Oktober 2026 biner di lima rilis ovhcloud-cli (v0.11.0 sampai v0.15.0) diganti malware pencuri secret selama sekitar 94 menit. Yang sempat mengunduh dan menjalankannya perlu menganggap semua secret di mesin itu bocor, lalu memasang v0.16.0. Lima rilis lama alat baris perintah resmi OVHcloud, `ovhcloud-cli`, sempat berisi program pencuri data selama sekitar 94 menit pada 19 Oktober 2026. Penyerang memakai akun GitHub milik seorang kontributor untuk mengganti file biner di halaman rilis v0.11.0, v0.12.0, v0.13.0, v0.14.0, dan v0.15.0. Siapa pun yang mengunduh salah satu versi itu dari GitHub Releases dalam jendela tersebut lalu menjalankannya perlu menganggap seluruh secret di komputernya sudah bocor. Kasus ini penting bukan hanya bagi pengguna OVHcloud. Polanya, yaitu rilis lama yang diam-diam ditukar tanpa menyentuh kode sumber, bisa terjadi pada alat CLI mana pun yang kamu unduh dari GitHub. ## Apa yang sebenarnya terjadi? Menurut analisis StepSecurity, penggantian file berlangsung pukul 12.47 sampai 14.21 UTC (sekitar 19.47 sampai 21.21 WIB) pada 19 Oktober 2026. Penyerang mengunggah biner yang dibangun sendiri langsung ke rilis yang sudah ada. Tidak ada tag yang dipindah, tidak ada workflow CI yang berjalan, dan repositori kode sumbernya tidak diubah. CEO OVHcloud Octave Klaba, seperti dikutip BleepingComputer, menyebut pengaturan *release immutability* di GitHub belum aktif. Akibatnya, akun dengan hak cukup tinggi bisa mengubah rilis lama tanpa melewati pipeline CI/CD yang biasanya menjalankan pengujian dan pemindaian CVE. Pipeline itu sendiri tidak tersentuh. Laporan bermula dari seorang pelanggan. Menurut StepSecurity, pelanggan itu mengunci nilai SHA-256 file rilis di CI miliknya, sehingga pergantian file langsung ketahuan karena hash tidak cocok. ## Versi mana yang terdampak? | Versi | Status | Catatan | |---|---|---| | v0.10.0 dan sebelumnya | Bersih | Tidak disentuh | | v0.11.0, v0.12.0 | Biner diganti | File checksum asli tetap, jadi verifikasi hash akan gagal | | v0.13.0, v0.14.0, v0.15.0 | Biner dan `checksums.txt` diganti | Hash di halaman rilis ikut cocok dengan file jahat | | v0.16.0 | Bersih | Rilis pengganti, immutable dan ditandatangani | Baris ketiga yang paling berbahaya. Kalau file checksum ikut ditukar, kebiasaan "cocokkan hash dengan file di halaman rilis" tidak lagi melindungi, karena keduanya berasal dari sumber yang sama-sama sudah dikuasai penyerang. Platform yang biner jahatnya beredar mencakup macOS (Intel dan ARM), Linux (x86_64 dan ARM64), serta Windows x86-64. Menurut BleepingComputer dan StepSecurity, build dari kode sumber dan image Docker tidak terdampak. StepSecurity menambahkan bahwa pemasangan lewat Homebrew dan `go install` juga aman, karena Homebrew mengunci hash per arsitektur dan menolak file yang berubah. ## Apa yang dicuri malware ini? Klaba menyebut malware dirancang untuk mengambil secret dari disk. StepSecurity, yang menjalankan ulang sampel di lingkungan uji, melaporkan target yang lebih rinci: - Kredensial cloud dan kontainer, misalnya AWS, GCP, Azure, Docker, Kubernetes, Terraform, dan npm. - Kunci SSH, file `.netrc`, dan `.gitconfig`. - Tempat penyimpanan kredensial asisten coding AI dan editor seperti VS Code dan Cursor. Data dikemas lalu dikirim ke server penyerang dalam hitungan detik setelah biner dijalankan, dan setiap kali dijalankan ulang, pencurian terjadi lagi. ## Siapa di balik serangan? Belum ada kepastian. Platform intelijen ancaman OpenSourceMalware dan StepSecurity mengaitkan pola serangan dengan kelompok GlassWorm, yang sejak akhir 2025 menyasar ekosistem VS Code, OpenVSX, GitHub, dan npm. Kaitan ini masih dugaan peneliti, bukan pernyataan resmi OVHcloud. Menurut OpenSourceMalware, akun kontributor tersebut diduga sudah dikuasai penyerang lebih dari setengah tahun sebelum insiden, dengan jejak penulisan ulang riwayat repositori pribadi pada 5 Maret 2026. Artinya, akun itu "tidur" cukup lama sebelum dipakai. ## Bagaimana cara mengecek apakah kamu terdampak? Kamu perlu waspada bila mengunduh `ovhcloud-cli` versi 0.11.0 sampai 0.15.0 langsung dari GitHub Releases pada 19 Oktober 2026, termasuk lewat skrip, perintah `ovhcloud upgrade`, atau job CI yang mengambil file rilis secara otomatis. StepSecurity memberi beberapa tanda yang bisa dicek: - Perintah `ovhcloud version` menampilkan versi `undefined` dengan commit berawalan `5ead8ef`. - Ada folder `/tmp/envchecker-*` di mesin Linux atau macOS. - Perintah `ovhcloud upgrade` menolak berjalan dengan pesan bahwa upgrade tidak tersedia di build pengembangan. > **Bila salah satu tanda muncul:** > > Anggap mesin itu sudah disusupi. Ganti secret dari komputer lain yang bersih, bukan dari mesin yang terdampak. ## Langkah pemulihan yang disarankan 1. Dari mesin lain, cabut dan buat ulang semua secret yang bisa dibaca mesin terdampak: kredensial OVHcloud, akun cloud lain, token Kubernetes dan registry, token npm, kunci SSH, serta token Git dan asisten AI. 2. Hapus biner `ovhcloud` lama dan folder `/tmp/envchecker-*`. 3. Pasang v0.16.0. StepSecurity menyarankan memverifikasinya dengan `gh release verify-asset v0.16.0 `. 4. Periksa job CI yang mengunduh rilis v0.11.0 sampai v0.15.0 di hari itu. Kredensial yang bisa dijangkau runner juga perlu dianggap bocor. 5. Bila kamu tidak bisa memastikan mesin bersih, pasang ulang sistemnya. Kalau kamu pernah mengalami hal serupa di platform lain, alurnya mirip dengan panduan saat [Railway meminta penggunanya merotasi env var](https://nivelva.com/insight/railway-dibobol-rotasi-env-var). ## Pelajaran untuk tim yang memakai alat CLI dari GitHub OVHcloud kini mengaktifkan release immutability dan menganggap insiden selesai. Bagi tim kecil yang memelihara proyek open source sendiri, pengaturan ini layak dinyalakan juga, ditambah 2FA wajib bagi semua akun yang punya hak tulis. Dari sisi pengguna, tiga kebiasaan membantu: kunci hash file yang diunduh di CI (seperti pelanggan yang menemukan kasus ini), utamakan saluran yang memverifikasi tanda tangan atau hash terpisah, dan jangan simpan secret yang tidak perlu di laptop pengembang. Serangan lewat alat yang kamu percaya ini termasuk jenis [supply chain attack](https://nivelva.com/insight/apa-itu-supply-chain-attack-contoh-kasusnya), dan polanya mirip dengan kasus [LiteLLM 1.107.0 yang membawa pencuri kredensial](https://nivelva.com/insight/litellm-1-107-0-pencuri-kredensial). ## Pertanyaan yang sering diajukan ### Apakah pengguna yang memasang ovhcloud-cli lewat Homebrew terdampak? Menurut StepSecurity tidak, karena Homebrew mengunci hash SHA-256 per arsitektur sehingga menolak file yang sudah diganti. Build dari kode sumber dan image Docker juga tidak terdampak. ### Saya memakai v0.15.0 sejak sebelum 19 Oktober, apakah aman? Biner yang diunduh sebelum jendela serangan adalah file asli. Risiko muncul bila kamu mengunduh ulang atau menjalankan upgrade pada 19 Oktober 2026. Cek dengan perintah ovhcloud version dan pindah ke v0.16.0 untuk amannya. ### Apa itu release immutability di GitHub? Pengaturan yang membuat aset dan tag rilis yang sudah terbit tidak bisa diubah lagi. Dengan pengaturan ini, akun yang dibobol tidak bisa diam-diam menukar file di rilis lama. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/ovhcloud-cli-disusupi-pencuri-data Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com