OVHcloud, Rank Math, AOMEI : la semaine des mises à jour piégées
L'outil en ligne de commande d'OVHcloud, une extension WordPress très répandue et un logiciel de sauvegarde ont distribué des mises à jour contenant un malware. Ce qui s'est passé et ce qu'il faut faire si vous êtes concerné.
Mettre à jour ses logiciels reste le premier conseil de sécurité. Cette semaine pourtant, trois éditeurs ont distribué, sans le vouloir, des mises à jour contenant un logiciel malveillant. On appelle cela une attaque de la chaîne d’approvisionnement : au lieu de vous attaquer directement, le pirate s’infiltre chez un fournisseur en qui vous avez confiance.
OVHcloud : l’outil officiel en ligne de commande piégé
Le 19 octobre 2026, un client d’OVHcloud a signalé un problème sur l’outil officiel en ligne de commande (CLI) qui sert à piloter les services de l’hébergeur. Le compte GitHub d’un développeur avait été utilisé pour ajouter au dépôt un programme conçu pour récupérer les secrets stockés sur le disque : clés d’accès, jetons d’API et autres identifiants.
Selon The Stack, la version malveillante a été repérée et bloquée en 94 minutes. Les versions concernées vont de la v0.11.0 à la v0.15.0 ; la v0.10.0 et la future v0.16.0 sont saines. Le PDG d’OVHcloud a indiqué qu’aucun autre dépôt n’était touché, et l’analyse se poursuit.
Ce qu’il faut faire : si vous avez installé l’une de ces versions, OVHcloud recommande de changer tous les secrets présents sur la machine, pas seulement ceux d’OVHcloud.
Rank Math PRO : une extension WordPress contaminée
Rank Math est une extension de référencement très utilisée sur WordPress. Une version 3.0.123 de Rank Math PRO contenant du code malveillant a été distribuée les 15 et 16 octobre. Si vous gérez un site WordPress avec cette extension, vérifiez la version installée et suivez les consignes de l’éditeur pour nettoyer le site.
AOMEI Backupper et AnyViewer : des mises à jour piégées par vagues
Le logiciel de sauvegarde AOMEI Backupper et l’outil de prise en main à distance AnyViewer ont, eux aussi, distribué des mises à jour piégées, envoyées par vagues de quelques minutes, une technique qui rend la détection plus difficile. Les utilisateurs de ces outils doivent suivre les consignes de l’éditeur et faire analyser leur poste.
Faut-il arrêter de mettre à jour ?
Non. Les failles non corrigées restent bien plus souvent exploitées que les mises à jour piégées. Mais ces affaires rappellent quelques règles utiles, surtout en entreprise :
- ne pas laisser de secrets en clair sur les postes (clés SSH, jetons d’API) : un coffre-fort ou un gestionnaire de secrets limite les dégâts si un outil est compromis ;
- donner à chaque outil le minimum de droits dont il a besoin ;
- surveiller les comportements anormaux plutôt que se reposer uniquement sur la réputation de l’éditeur ;
- suivre les annonces de sécurité des outils que l’on utilise, pour réagir vite.
Pour les particuliers, la règle reste simple : installer les mises à jour, mais seulement depuis les sources officielles, et garder une sauvegarde à jour pour pouvoir revenir en arrière.