Railway: უნებართვო მხარემ შესაძლოა დაშიფრულ გარემოს ცვლადებზე წვდომა მოეპოვებინა

ინციდენტის მიმოხილვა

2026 წლის 21 ოქტომბერს Railway-მ განაცხადა, რომ ანომალიური აქტივობა გამოავლინა იმ სისტემებში, რომლებიც მომხმარებლების გარემოს ცვლადებს ინახავენ. გამოძიებამ დაადგინა, რომ უნებართვო მესამე მხარემ შესაძლოა დაშიფრულ გარემოს ცვლადებზე წვდომა მოეპოვებინა და ზოგიერთი მათგანის გაშიფრული შიგთავსიც კი მიეღო.

გარემოს ცვლადებში შეიძლება ინახებოდეს საიდუმლო მონაცემები, მაგალითად API გასაღებები, მონაცემთა ბაზისა და რეესტრის წვდომის მონაცემები. Railway-ს მიაჩნია, რომ ეს გაჟონვა პლატფორმების კომპანიებზე მიმართული თავდასხმების სერიის ნაწილია, რომლებიც AI ინფერენსის სერვისებს აწვდიან.

რეკომენდებული ქმედებები

კომპანია ყველა მომხმარებელს ურჩევს დაუყოვნებლივ შეცვალოს Railway-ში შენახული ყველა გარემოს ცვლადი, მათ შორის API გასაღებები და კერძო რეესტრის წვდომის მონაცემები. მომხმარებლებმა ასევე უნდა გადახედონ ამ სერვისების ლოგებს ნებისმიერი უჩვეულო აქტივობის აღმოსაჩენად.

სანამ გამოძიება გრძელდება, ყველა დეპლოიმენტი შეჩერებულია. სანამ ბილდები არ აღდგება, მომხმარებლები ახალი ვერსიების გაშვებას ვერ შეძლებენ. Railway-მ ბოდიში მოიხადა უხერხულობისთვის და მომხმარებლებს სთხოვა, თვალყური ადევნონ ინციდენტის გვერდს, რათა ბილდების აღდგენისას შეტყობინებები მიიღონ.

მიმდინარე გამოძიება და განახლებები

Railway-მ აცნობა ზემდგომ პროვაიდერებს, რათა პროაქტიულად გააუქმონ ყველა გასაღები. როცა ზემოქმედების მასშტაბი დაზუსტდება, კომპანია პირდაპირ ელფოსტით დაუკავშირდება იმ მომხმარებლებს, ვისაც ზემოქმედება შეეხო, და დამატებით დეტალებს მიაწვდის.

განახლებები გამოქვეყნდება განცხადებების გვერდზე და status.railway.com-ზე. 2026 წლის 22 ოქტომბერს Railway-მ გამოაქვეყნა საინჟინრო გიდები GCP-ზე ანომალიური წვდომისა და AWS-ზე ანომალიური წვდომის შემოწმების შესახებ.

წყაროები: Railway Blog