Railway: несанкціонована сторона могла отримати доступ до зашифрованих змінних середовища

Огляд інциденту

21 жовтня 2026 року Railway повідомив, що виявив аномальну активність у системах, які зберігають змінні середовища клієнтів. Розслідування встановило, що несанкціонована третя сторона могла отримати доступ до зашифрованих змінних середовища та для частини з них отримати розшифрований вміст.

Змінні середовища можуть містити секрети, такі як ключі API, облікові дані баз даних і облікові дані приватних реєстрів. Railway вважає, що цей інцидент є частиною серії атак, спрямованих на платформні компанії з метою скомпрометувати постачальників послуг AI-інференсу.

Рекомендовані дії

Компанія рекомендує всім користувачам негайно змінити кожну змінну середовища, збережену в Railway, включно з ключами API та обліковими даними приватних реєстрів. Користувачам також слід переглянути журнали цих сервісів на предмет будь-якої незвичайної активності.

Усі розгортання призупинено, поки триває розслідування. Доки збірки не відновлено, користувачі не можуть розгортати нові версії. Railway вибачився за незручності та попросив користувачів стежити за сторінкою інциденту, щоб отримати повідомлення про відновлення збірок.

Поточне розслідування та оновлення

Railway повідомив постачальників вищого рівня з проханням проактивно відкликати всі ключі. У міру звуження масштабу впливу компанія зв'яжеться безпосередньо з постраждалими клієнтами електронною поштою та надасть додаткові деталі.

Оновлення публікуватимуться на сторінці оголошень і на status.railway.com. 22 жовтня 2026 року Railway опублікував інженерні посібники з перевірки аномального доступу GCP та аномального доступу AWS.

Джерела: Railway Blog