Napad na službeni alat za naredbeni redak europskog cloud diva OVHcloud otkriva koliko su lanci opskrbe softverom ranjivi — i koliko malo korisnik može učiniti osim da vjeruje dobavljaču.
U ponedjeljak, 19. listopada 2026., oko 14:47 po srednjoeuropskom vremenu, na GitHub repozitoriju OVHclouda pojavila se verzija alata naredbenog retka (CLI) u koju je ubačen zloćudni program. Napadač je za to iskoristio GitHub račun jednog od razvijatelja tvrtke. Program je pretraživao disk zaraženog računala i skupljao tajne podatke — pristupne ključeve, lozinke i tokene koji otvaraju vrata poslužiteljima i cloud uslugama.
Kompromitirane su verzije od v0.11.0 do v0.15.0. Verzija v0.10.0 ostala je čista, kao i v0.16.0 objavljena nakon incidenta. Osnivač i predsjednik OVHclouda Octave Klaba javno je potvrdio napad i zatražio od korisnika da odmah ažuriraju alat ili ga uklone.
Sat i pol tišine do prvog signala
OVHcloud je napad otkrio i blokirao u 16:21, sat i 34 minute nakon što je zaražena verzija postavljena. Do saznanja nisu došli vlastitim nadzorom, nego zato što je jedan korisnik prijavio problem. Njegova automatizirana instalacija nije prošla provjeru SHA-256 potpisa datoteke — sadržaj više nije odgovarao izvorniku. To je detalj koji govori više od same vijesti: obrana se svela na budnost pojedinca, a ne na sustav dobavljača.
Klaba je obećao da će „uskoro” objaviti više pojedinosti o zloćudnom programu. Koliko je ljudi preuzelo zaražene verzije, tvrtka još nije navela. Za korisnike to nije utjeha — svatko tko je u ponedjeljak instalirao ili ažurirao alat mora pretpostaviti da su mu pristupi procurjeli.
Što treba učiniti — i zašto redoslijed nije slučajan
Prvi korak je provjeriti verziju naredbom u terminalu. Ako je između v0.11.0 i v0.15.0 i preuzeta je u ponedjeljak, korisnik je pogođen. U nedoumici najsigurnije je ponašati se kao da jest.
Zatim slijedi uklanjanje programa i instalacija verzije v0.16.0 službenim skriptom ili Homebrewom, uz provjeru da se broj verzije doista promijenio. Prvo se mijenjaju API ključevi OVHclouda, jer ih alat sprema u datoteku.ovh.conf u korisničkom direktoriju ili u varijable okruženja — dakle na mjestu do kojeg je zloćudni program imao izravan pristup. Slijede SSH ključevi, GitHub tokeni, pristupi drugim cloud platformama i sve lozinke zapisane u čistom tekstu u konfiguracijskim datotekama. Ako je alat radio unutar sustava za kontinuiranu integraciju, mijenjaju se i tajne te mašine.
Pitanje koje nitko nije postavio
Incident otvara neugodnu temu za cijeli europski cloud sektor: ako napadač može preuzeti razvijateljev GitHub račun i kroz njega gurnuti zloćudni binarni zapis u službeni repozitorij, koliko vrijedi obećanje o „suverenom” i „sigurnom” europskom cloudu? OVHcloud se godinama pozicionira kao europska alternativa američkim hyperscalerima, s naglaskom na podatkovnu suverenost. Ovaj slučaj pokazuje da suverenost podataka ne znači ništa ako lanac isporuke softvera visi o jednom lozinkom zaštićenom računu.
Nije to prvi put da se europska tehnološka infrastruktura nađe na udaru kroz dobavljača, a ne kroz vlastiti sustav. Prošlih godina slični napadi na repozitorije otvorenog koda pokazali su da je upravo taj sloj — alat koji developeri svakodnevno preuzimaju bez razmišljanja — najslabija karika. Ovaj put meta nije bila mala biblioteka, nego CLI kojim se upravlja poslužiteljima i domenama.
Što bi domaći korisnici trebali izvući
Tvrtke i ustanove koje koriste OVHcloud, a mnoge ga koriste za hosting i VPS, trebale bi odmah provesti provjeru verzija i rotaciju ključeva, bez čekanja na službenu listu pogođenih. Praksa da se pristupni ključevi drže u datotekama na istom disku s razvojnim alatima pokazala se skupom. Ako se tajna može pročitati s diska, ona je već izgubljena — pitanje je samo tko ju je pročitao.
Ostaje i šire pitanje odgovornosti. Tvrtka je napad otkrila tek nakon prijave korisnika, a ne vlastitim nadzorom integriteta objavljenih datoteka. Potpisivanje i automatska provjera svake objave nisu luksuz, nego minimum za softver koji drži pristupne ključeve tisuća organizacija. Dok OVHcloud ne objavi detalje o tome kako je račun razvijatelja preuzet i koliko je korisnika pogođeno, svaki korisnik ostaje sam sa svojim diskom — i sa svojim ključevima.
0 komentara
Još nema komentara. Budite prvi.