---
title: "Saldırganlar OVHcloud CLI'nin beş sürümünü ele geçirip gizli bilgi çalan kötü yazılım yaydı"
url: "https://teknotayf.com/haber/saldirganlar-ovhcloud-cli-nin-bes-surumunu-ele-gecirip-gizli-bilgi-calan-kotu-yazilim-yaydi"
markdown_url: "https://teknotayf.com/haber/saldirganlar-ovhcloud-cli-nin-bes-surumunu-ele-gecirip-gizli-bilgi-calan-kotu-yazilim-yaydi.md"
site: "teknotayf.com"
language: "tr"
published: "2026-10-20 11:21:29"
updated: "2026-10-20 10:44:50"
category: "Siber Güvenlik"
tags: ["Siber Saldırı","GitHub","Tedarik Zinciri","Kötü Yazılım","OVHcloud"]
source: "The Hacker News"
---

# Saldırganlar OVHcloud CLI'nin beş sürümünü ele geçirip gizli bilgi çalan kötü yazılım yaydı

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/saldirganlar-ovhcloud-cli-nin-bes-surumunu-ele-gecirip-gizli-bilgi-calan-kotu-yazilim-yaydi  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** 19 Ekim'de bir katkıda bulunanın GitHub hesabı ele geçirilerek OVHcloud'un komut satırı aracının beş eski sürümündeki indirme arşivleri değiştirildi. Zararlı derlemeler 94 dakika boyunca yayında kaldı ve kurulan sistemlerdeki gizli bilgileri çalmaya yönelikti. OVHcloud temiz v0.16.0 sürümünü yayımladı ve etkilenen kullanıcıların tüm sırları değiştirmesini istedi.

- **Yayın tarihi:** 2026-10-20 11:21
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Saldırı, GitHub, Tedarik Zinciri, Kötü Yazılım, OVHcloud
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/hackers-hijack-five-ovhcloud-cli.html)

![Saldırganlar OVHcloud CLI'nin beş sürümünü ele geçirip gizli bilgi çalan kötü yazılım yaydı](https://teknotayf.com/assets/uploads/2026/10/cd4620e063ce1f7c2d424d98756e5a06.jpg)

 Swati Khandelwal  Oct 20, 2026 Supply Chain Attack / Cyber Attack

Saldırgan, 19 Ekim Pazartesi günü **OVHcloud**'un komut satırı aracının beş mevcut sürümündeki indirme arşivlerini değiştirmek için bir katkıda bulunanın GitHub hesabını kullandı. Hesap ele geçirilmişti ve yeni dosyalar, çalıştırıldığı her makinedeki diskte saklanan gizli bilgileri çalmak üzere tasarlanmış bir derlemeydi. Bunu bulut sağlayıcısı açıkladı.

Dosyalar 12:47 ile 14:21 UTC arasında, toplam **94 dakika** boyunca GitHub'da yayında kaldı. Bu pencerede OVHcloud CLI'yi yükleyen veya güncelleyen, macOS, Linux x86_64 veya arm64 ya da Windows x86_64 için hash kontrolü yapmayan yol üzerinden gelen kişiler etkilendi.

OVHcloud değiştirilen arşivleri sildi ve aynı akşam değiştirilemez bir sürüm olarak temiz **v0.16.0**'ı yayımladı. GitHub bu sürümün dosyalarını artık değiştirmeye izin vermiyor. Kaynak kod, sürüm etiketi ve şirketin derleme hattı dokunulmadı; kötü derleme, Nisan ile Eylül arasında yayımlanmış sürümlerin üzerine doğrudan yüklenen daha yeni bir commit'in düz go build'iydi.

## Kimler Etkilendi

v0.15.0'da saldırgan altı dosyayı değiştirdi: macOS x86_64 ve arm64 arşivleri, Linux x86_64 ve arm64 arşivleri, Windows x86_64 arşivi ve checksums.txt dosyası. Böylece yayımlanan hash'ler yeni ikili dosyalarla eşleşti. Aynı altı dosya v0.11.0'dan v0.14.0'a kadar olan sürümlerden de kaldırıldı. Her sürümde Linux i386, Windows i386, Windows arm64 ve WebAssembly derlemeleri dokunulmadan kaldı.

OVHcloud **v0.11.0 ile v0.15.0** sürümlerini tehlikeye atılmış, v0.10.0'ı temiz olarak listeliyor. Bu beş sürüm 14 Nisan ile 16 Eylül arasında yayımlandı. Dolayısıyla Pazartesi 12:47 UTC'den önce kurulmuş ve o pencerede güncellenmemiş bir kopya orijinaldir.

Bu pencerede ve bu platformlardan birinde değiştirilmiş dosya aldıysanız:

Resmi kurulum betiğini çalıştırdınız (curl -fsSL https://raw.githubusercontent.com/ovh/ovhcloud-cli/main/install.sh | sh). Betik en yeni sürüm arşivini indirir ve kurar, hiç hash kontrolü yapmaz.

Beş sürümden herhangi birinin GitHub sürüm sayfasından bir arşiv indirdiniz.

CI işi veya derleme adımı, sabit hash olmadan sürüm indirme URL'sinden arşivi çekti.

v0.12.0, v0.13.0 veya v0.14.0 kurulumundan CLI'nin kendi yükseltme komutunu, betikle veya elle kurulmuş bir macOS veya Linux makinede çalıştırdınız. Komut arşivi indirir ve hash kontrolü yapmadan ikiliyi değiştirir. Homebrew veya go install kurulumunda sadece çalıştırılacak komutu yazdırır.

Almadınız eğer:

Homebrew ile kurduysanız. Pencere sırasında kullanılan cask, her arşivin orijinal SHA-256'sını sabitlemişti. Homebrew hash eşleşmeyen indirmeyi reddeder, bu yüzden brew install veya brew upgrade değiştirilmiş dosyayı kurmak yerine başarısız olurdu. Bazı ilk yazılarda Homebrew etkilenen yollar arasında listelendi, ancak The Hacker News tap'ın commit geçmişini kontrol etti: 16 Eylül'deki v0.15.0 cask ile Pazartesi akşamındaki v0.16.0 cask arasında değişiklik yok.

go install kullandınız veya kaynaktan derlediniz. v0.15.0 etiketi hâlâ Eylül commit'i 760fd72'yi gösteriyor.

Docker imajını çektiniz. En son etiketi 21 Eylül'de, değiş tokuştan dört hafta önce itilmişti ve Salı'ya kadar yeniden derlenmemişti.

Pazartesi 12:47 UTC'den önce kurdunuz ve pencerede güncelleme yapmadınız.

## Nasıl Anlaşılır

Değiş tokuşu yakalayan müşteri, yeni v0.15.0 Linux arm64 ikili dosyasından go version -m ile derleme bilgilerini çıkardı. Dosya çalıştırılmadan okunur ve GitHub sorununda paylaşıldı. Kötü derlemeyi işaret eden üç şey var:

Modül satırı v0.15.1-0.20261013083505-5ead8ef9b43d+dirty şeklinde okunuyor; bu sahte bir sürüm, Go'nun etiketlenmemiş bir commit'ten derleme için ürettiği geçici dizedir, burada 13 Ekim'den bir commit. Gerçek bir sürüm etiket numarasını taşır: OVHcloud'un temiz v0.16.0 derlemesi v0.16.0+dirty olarak okunur.

Kayıtlı commit 5ead8ef, v0.15.0 etiketinin işaret ettiği 760fd72 değil.

-ldflags="-s -w" satırı mevcut. OVHcloud'un sürüm hattı sürüm bayrağı ile derler, Go bu bayrağı kaydedilen bayraklardan çıkarır, bu yüzden gerçek bir sürümde -ldflags satırı hiç görünmez.

Herhangi bir +dirty işaretli derleme veya vcs satırı taşıyan derlemenin kötü olduğu yönündeki dolaşan tavsiye OVHcloud'un kendi sürümünü de işaret eder. The Hacker News aynı komutu temiz v0.16.0 Linux x86_64 ikili dosyasında çalıştırdı: v0.16.0+dirty, vcs.modified=true ve derlendiği commit'i bildiriyor.

Değiştirilmiş bir dosyanın yayımlanmış tek hash'i v0.15.0 Linux arm64 arşivine ait:

SHA-256 (değiştirilmiş arşiv): 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb

SHA-256 (orijinal arşiv): 5c2beb56e6d83a4b426565a1557791ef759316abcc4effb38dd627c90aeb80e0

Sürüm bayrağı olmadan derlenmiş bir yapı sürümünü undefined olarak bildirir, ancak şüpheli bir ikiliyi öğrenmek için çalıştırmak önerilmez.

## Ne Yapılmalı

OVHcloud kurucusu Octave Klaba Pazartesi akşamı X'te yazdı, etkilenen herkes diske kaydedilmiş her gizli bilgiyi değiştirmeli.

CLI, OVHcloud API kimlik bilgilerini ~/.ovh.conf'da saklar ve bunları ortam değişkenlerinden okur; dokümantasyona göre tavsiye sadece bu dosyalarla sınırlı değil, diskteki her şeyi kapsıyor.

Değiştirilmiş bir yapı çalıştırdıysanız veya emin değilseniz, o makineden okunabilen her gizli bilgiyi tehlikeye atılmış sayın ve döndürün. Olayı araştıran OpenSourceMalware ekliyor: bunu farklı bir makineden yapın.

İkiliyi kaldırın ve v0.16.0'ı kurun. Sürüm değiştirilemez ve bir sürüm tasdiki taşır, dosyalarının imzalı kaydıdır. Güncelleme programı değiştirir ancak zaten kopyalanmış bir anahtarı iptal etmez, bu yüzden döndürme önce gelir.

İndirilen bir arşivi sürümle gh release verify-asset v0.16.0 FILE komutuyla GitHub'ın belgelediği şekilde kontrol edin.

OVHcloud ikili dosyanın hangi dosyaları okuduğunu, bunları nereye gönderdiğini veya kaç kopyanın indirildiğini söylemedi ve değiştirilmiş bir arşivin kopyası kamuya açık olarak analiz edilmedi. Şirket önümüzdeki günlerde ayrıntılı bir olay sonrası raporu sözü verdi.

## Nasıl Oldu

GitHub deposuna yazma erişimi olan herkes bir sürüme eklenmiş dosyaları silebilir ve aynı adlarla yenilerini yükleyebilir; indirme URL'si sürüm değiştirilemezliği etkinleştirilmedikçe değişmez.

Ayar Ekim 2025'ten beri genel olarak mevcut. Sürümün dosyalarını ve etiketini kilitler ancak yalnızca etkinleştirildikten sonra oluşturulan sürümleri korur.

OVHcloud bunu etkinleştirmemişti. Pazartesi gecesi Next tarafından alıntılanan ikinci bir gönderide Klaba, sorunun değiştirilemezlik seçeneğinin etkinleştirilmemiş olmasından kaynaklandığını yazdı, böylece yetkili bir kullanıcı şirketin CI/CD hattı tarafından herhangi bir kontrol olmadan GitHub'da mevcut sürümleri doğrudan değiştirebiliyordu. Seçenek şimdi etkinleştirildi ve hatlar etkilenmedi.

Beş eski sürüm artık saldırganın dokunmadığı dört arşivi sunuyor.

Yüklemeler, OpenSourceMalware'e göre, OVHcloud'un dokümantasyon deposunda birleştirilmiş çalışmaları olan ve kuruluşun açık üyesi olmayan bir katkıda bulunanın hesabı üzerinden geldi. Araştırmacılar GitHub'ın sunucu tarafı kayıtlarından bir zaman çizelgesi oluşturdu.

Sürüm iş akışı hiç çalışmadı: 16 Ekim ile Pazartesi 16:00 UTC'de v0.16.0 etiketinin itildiği tarih arasında iş listesinde iş yok. Klaba ilk gönderisinde başka bir depodan etkilenmediğini bulduklarını yazdı ve OVHcloud hesap kimlik bilgilerinin nasıl alındığını söylemedi.

Bir müşterinin CI işi Linux arm64 arşivinin SHA-256'sını sabitlediği için değiş tokuşu yakaladı ve başarısız olmaya başladı. Depoda özel bir bildirim kanalı olmadığı için müşteri 13:50 UTC'de OpenSourceMalware'in zaman çizelgesine göre açık bir sorun açtı ve OVHcloud değiştirilmiş dosyaları yaklaşık yarım saat sonra 14:21 UTC'de (Paris'te 16:21) sildi. v0.16.0 17:16 UTC'de, şirketin ovh-cds hesabı altında imzalı etiketle yayımlandı.

## GlassWorm Sorusu

OpenSourceMalware hesabı, kodu görünmez Unicode karakterlerine gizleyen ve bir sonraki aşamayı Solana cüzdanının memo alanındaki işlemlerden çeken GlassWorm kötü yazılım kampanyasına bağlıyor. Araştırmacılar buldu ki hesabın dört kişisel deposu 5 ve 6 Mart'ta bu tür bir yükleyici ekleyen değiştirilmiş bir commit ile zorla itilmiş.

Yükleyicinin okuduğu cüzdan, Mart ayında çalınmış GitHub jetonlarıyla yüzlerce Python deposuna kötü yazılım zorla iten GlassWorm'un ForceMemo kampanyasında adı geçen cüzdan. The Hacker News, yükleyici dosyanın araştırmacıların yayımladığı hash ile hâlâ bu depoların birinde bulunduğunu doğruladı.

Aynı aktörün her ikisini de yapıp yapmadığı "bizim çıkarımımız", araştırmacılar yazdı. Ortak hesap bağlantı, ve Ekim ikili dosyasından hiçbir şey GlassWorm'a bağlanmadı, çünkü onun bir kopyası korunmadı.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/saldirganlar-ovhcloud-cli-nin-bes-surumunu-ele-gecirip-gizli-bilgi-calan-kotu-yazilim-yaydi  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.