Для: разработчиков и операторов, которые развёртывают приложения или базы данных на Zeabur, платформе для развёртывания приложений (PaaS), особенно тех, кто хранит в переменных окружения API-ключи сервисов ИИ, платёжных систем, облачные учётные данные или данные доступа к базам данных. Статья основана на официальном предварительном отчёте Zeabur и её объявлении о прекращении работы и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
разработчиков и операторов, которые развёртывают приложения или базы данных на Zeabur, платформе для развёртывания приложений (PaaS), особенно тех, кто хранит в переменных окружения API-ключи сервисов ИИ, платёжных систем, облачные учётные данные или данные доступа к базам данных.
- ПодтвержденоСмотреть таблицу ↓
- Переменные окружения в базе данных платформы
- Данные аккаунтов
- API-ключи zSend
Ещё 2
- Access Tokens платформы
- То, что компания называет GCP Dedicated Servers
- Пока не подтверждено
- Как атакующий получил первоначальные учётные данные
- Сколько данных фактически вынесено из баз данных общего кластера
- Были ли скачаны резервные копии и другие хранимые объекты
Ещё 1
- Использовались ли утёкшие токены для серверов, которые компания называет Hetzner and DigitalOcean Dedicated Servers
- Что сделать сейчасСмотреть шаги ↓
- Отзовите каждый секрет из переменных окружения у выпустившего сервиса
- Пользователи общего кластера: смените пароли и внутри базы данных
- Создайте заново Access Tokens Zeabur и API-ключи zSend
Ещё 4
- Если вы подключали GitHub, проверьте его журнал аудита за 15 октября
- Проверьте использование и счета начиная с 14 октября
- Если вы понесли убытки, подайте требование до 30 ноября 2026 года
- Пользователи выделенных серверов: считайте сервер скомпрометированным, если он в зоне воздействия
- Где проверить (источник)Все источники ↓
- Zeabur, «Zeabur October 2026 security incident (preliminary report)» (19 октября 2026 года)
- Последняя проверка
- По состоянию на 31 октября 2026 года
Планы обновлений и что мы проверили
В отчёте от 19 октября говорится: «Расследование продолжается, и мы будем обновлять эту статью по мере его продвижения». На 31 октября страница по-прежнему была датирована 19 октября. Единственное более позднее сообщение в блоге компании — запись от 22 октября о возвратах и требованиях по инциденту, которая не обновляет сведения о расследовании.
Что пользователям Zeabur делать сегодня
Отзовите каждый секрет из переменных окружения у выпустившего сервиса
Это касается API-ключей (сервисы ИИ, платежи, электронная почта), облачных ключей, паролей баз данных, ключей подписи и шифрования. Порядок, который указывает компания: сначала отзовите старое значение у поставщика сервиса, затем создайте новое, задайте его в Zeabur и выполните повторное развёртывание.
Удаление или изменение переменной только в Zeabur не останавливает копию, которая уже у кого-то есть. Это относится и к тем, кто заменил значение после августовского инцидента, потому что, по словам компании, августовская ротация не охватила учётные данные, использованные на этот раз.
Пользователи общего кластера: смените пароли и внутри базы данных
Компания заявляет, что изменение переменных окружения в Zeabur не меняет пароли внутри базы данных. Смена паролей также не отменяет уже утёкшие данные. Если в вашей базе хранятся хеши паролей ваших собственных пользователей, сеансы входа или токены, отзовите и перевыпустите и их.
Компания также просит пользователей:
- n8n: заменить ключ шифрования n8n и заново создать все сторонние учётные данные, хранящиеся в n8n
- new-api/one-api: отозвать ключи вышестоящих сервисов ИИ и перевыпустить токены доступа
- PostgreSQL: поискать роли, функции, триггеры, запланированные задания или расширения, которые вы не узнаёте; при сомнениях создать новую базу данных и импортировать только данные
- Регионы Тайбэй (tpe1) и Гонконг (hkg1): считать данные в резервных копиях баз данных утёкшими
Создайте заново Access Tokens Zeabur и API-ключи zSend
Компания сообщает, что все пользователи были разлогинены, а все Access Tokens платформы отозваны. Войдите снова, создайте новые токены на странице Access Token и проверьте, нет ли запросов, которые вы не узнаёте. Пользователям zSend нужно заново создать API-ключи zSend (все 566 отозваны).
Если вы подключали GitHub, проверьте его журнал аудита за 15 октября
Компания сообщает, что закрытый ключ Zeabur GitHub App был прочитан и заменён в 18:54 UTC 15 октября и что пока признаков его использования не обнаружено. Она просит пользователей проверить журнал аудита GitHub на действия Zeabur GitHub App с 15:05 до 18:54 UTC 15 октября: неожиданные клонирования или push, новые deploy keys и изменённые webhooks.
Проверьте использование и счета начиная с 14 октября
Просмотрите использование и счета каждого сервиса, ключи которого вы хранили, начиная с 14 октября 2026 года. Компания говорит, что это самое раннее известное использование учётных данных, а не доказательство того, что раньше ничего не утекало. Пользователям выделенных серверов с обозначением «GCP Dedicated Servers» следует проверять с 1 сентября. Почему украденные ключи ИИ быстро превращаются в счета, см. украденные API-ключи и блокировка аккаунтов.
Если вы понесли убытки, подайте требование до 30 ноября 2026 года
В уведомлении компании от 22 октября говорится, что требования о возмещении убытков от октябрьского инцидента нужно подать отдельным тикетом в Zeabur Support до 30 ноября 2026 года и что принимаются только требования, поданные до этого срока. Компания просит указать затронутые аккаунты и сервисы, типы утёкших ключей или учётных данных, а также сторонние счета или записи об использовании за период инцидента. Требования рассматриваются отдельно от возврата баланса аккаунта.
Пользователи выделенных серверов: считайте сервер скомпрометированным, если он в зоне воздействия
Для выделенных серверов с обозначением «GCP Dedicated Servers» компания говорит считать сервер скомпрометированным. Сделайте резервную копию данных и пересоберите сервер; это самый надёжный способ удалить всё, что могло остаться. Если пересобрать сразу нельзя, минимальные шаги по версии компании: удалить SSH-ключи, которые вы не узнаёте, проверить учётные записи, запланированные задания и службы, сменить пароль root и отключить вход по паролю для SSH, а также заменить все учётные данные на сервере. В отчёте компании перечислены признаки, на которые стоит обратить внимание; проверяйте их на официальной странице.
Для серверов, которые компания называет «Hetzner and DigitalOcean Dedicated Servers», она просит проверить в консоли провайдера, не был ли сброшен пароль root или переустановлена система после 14 октября.
Что произошло (по отчёту Zeabur)
Изложенное ниже основано на предварительном отчёте Zeabur от 19 октября 2026 года (опубликован также на японском и ещё четырёх языках). Всё время указано в UTC.
Август 2026 года
Отдельный инцидент безопасности в Zeabur. Компания говорит, что последовавшая ротация не охватила учётные данные, использованные в октябре.14 октября, 01:36
Первое известное использование атакующим внутреннего облачного ключа Zeabur, затем доступ к общему кластеру.15 октября, 13:56
Zeabur начинает расследование после сообщения пользователя.15 октября, 16:10–16:47
Атакующий читает базу данных платформы (подтверждено компанией).15 октября, 20:25
Zeabur меняет ключ подписи для входа; все пользователи разлогинены.15 октября, 21:05
Последняя наблюдавшаяся на данный момент активность атакующего.17 октября
Zeabur объявляет, что прекратит работу 31 декабря 2026 года.19 октября
Zeabur публикует предварительный отчёт об инциденте.22 октября
Zeabur устанавливает 30 ноября 2026 года крайним сроком подачи требований по инциденту и сообщает, что данные сервисов будут удалены 31 декабря.
Хранились в Zeabur: прочитаны
Переменные окружения в базе данных платформы Zeabur, включая проекты, которые их так и не перенесли
Перенесены на собственный выделенный сервер после августа
Вне объёма чтения базы данных платформы. Если сам сервер был в зоне воздействия, его секреты всё равно нужно заменить
Компания в любом случае просит всех пользователей заменить секреты. Это разделение говорит лишь о том, насколько достоверно раскрытие.
- Что произошло
- Атакующий с помощью утёкших внутренних учётных данных Zeabur проник в общий кластер, часть выделенных серверов и внутренние системы и прочитал базу данных платформы
- Прочитанные данные
- Переменные окружения (3 218 965 записей), данные аккаунтов (321 810 аккаунтов), API-ключи zSend (566), а также Access Tokens платформы, хранившиеся в виде необратимых хешей (11 536, все отозваны)
- Другие системы
- Команды выполнялись внутри 865 контейнеров баз данных в общем кластере; входы под root подтверждены на 101 сервере из тех, что компания называет GCP Dedicated Servers
- Причина (компания)
- Долгоживущие административные учётные данные, хранившиеся в открытом виде и пригодные для использования из публичного интернета. Компания заявляет, что первопричина лежит на Zeabur
- Реагирование
- Использованные учётные данные отозваны, публичный SSH-доступ к административным интерфейсам и серверам заблокирован, все пользователи разлогинены, все Access Tokens отозваны
- Компенсация
- Дополнительные расходы по сторонним API-ключам или облачным аккаунтам, вызванные инцидентом, можно заявить через тикет поддержки до 30 ноября 2026 года (уведомление от 22 октября)
Что известно и что пока нет
Состояние на 31 октября 2026 года. Собственные термины компании: «подтверждено» (это прямо зафиксировано в журнале), «по оценке» (время и содержание совпадают, но прямой записи нет), «невозможно подтвердить» (нет записей для проверки; считается утёкшим) и «гипотеза» (возможное объяснение, подкреплённое лишь косвенными данными). Столбец статуса следует этим терминам. При появлении новых сведений он будет обновлён.
| Пункт | Что говорится в отчёте | Статус |
|---|---|---|
| Переменные окружения в базе данных платформы | Прочитаны 3 218 965 записей (имена и значения) | Подтверждено (компания) |
| Данные аккаунтов | 321 810 аккаунтов: электронная почта, имя пользователя, номер телефона и другое, а также данные проектов | Подтверждено (компания) |
| API-ключи zSend | 566 ключей, хранившихся в открытом виде, все отозваны | Подтверждено (компания) |
| Access Tokens платформы | 11 536 токенов, хранившихся только в виде необратимых хешей, все отозваны | Подтверждено (компания) |
| Переменные окружения и секреты общего кластера | 9 регионов; часть подтверждена, остальное считается утёкшим | Частично подтверждено; остальное невозможно подтвердить (компания) |
| Содержимое баз данных общего кластера | Команды выполнялись в 865 сервисах баз данных; сколько вынесено, невозможно подтвердить | По оценке (компания) |
| То, что компания называет GCP Dedicated Servers | Входы под root подтверждены на 101 сервере (92 пользователя) | Подтверждено (компания) |
| Резервные копии баз данных (Тайбэй tpe1, Гонконг hkg1) | Были ли они скачаны, невозможно подтвердить. Отдельно компания сообщает, что данные на скомпрометированном хосте подтверждают: в 15:42 UTC 15 октября атакующий получил резервную копию базы данных клиента | Невозможно подтвердить (компания) |
| То, что компания называет Hetzner and DigitalOcean Dedicated Servers | Административные токены утекли; использовались ли они, невозможно подтвердить | Невозможно подтвердить (компания) |
| Данные двухфакторной аутентификации и passkey | Запрашивалась только статистика; записей о чтении содержимого нет | Записей о чтении содержимого нет (компания) |
| Как были получены первоначальные учётные данные | Невозможно подтвердить; связь с августом — неподтверждённая гипотеза | Невозможно подтвердить (компания) |
| Злоупотребление утёкшими ключами | Ключ сервиса ИИ одного пользователя был использован примерно для 1 107 запросов 16 октября; компания называет гипотезой то, что он взят из этой утечки | Гипотеза (компания) |
Как читать: «невозможно подтвердить» всё равно значит «замените»
Компания заявляет, что там, где нельзя исключить несанкционированный доступ, она исходит из того, что данные могли быть раскрыты. Для ваших собственных секретов практическая разница между «подтверждено», «по оценке» и «невозможно подтвердить» невелика: во всех случаях их нужно отозвать и заменить.
К чему могут привести утёкшие переменные окружения
В целом секреты, взятые из переменных окружения, могут использоваться во зло следующим образом. Это не значит, что всё это произошло в данном случае.
- API-ключи сервисов ИИ: кто-то другой отправляет запросы от имени вашего аккаунта, а счёт получаете вы. Компания наблюдала, что атакующий в основном искал ключи, которые можно использовать напрямую, особенно ключи сервисов ИИ
- Пароли баз данных и строки подключения: чтение или изменение данных вашего приложения, включая записи ваших собственных пользователей
- Ключи подписи и шифрования: подделка токенов сеанса или расшифровка данных, которые защищает ваше приложение
- Облачные и платёжные ключи: создание ресурсов или вызовы, которые стоят денег
Прошлый пример: после инцидента с переменными окружения Railway хостинговая компания отправила выпустившим сервисам списки возможно раскрытых ключей, чтобы их можно было отозвать. Этот случай может развиваться иначе, поэтому отзовите свои ключи сами.
Для операторов: уроки из того, что раскрыла компания
Эти пункты взяты из причины и пробелов, которые перечислила сама компания. Это не дополнительная оценка Zeabur.
- Задайте административным токенам срок действия и не держите административные интерфейсы в публичном интернете. Компания сообщает, что у её токенов администрирования кластера не было срока действия, они не менялись с января 2024 года, а административный интерфейс был доступен из интернета.
- После инцидента меняйте все учётные данные, которые могли быть прочитаны, а не только те, утечка которых подтверждена. Компания сообщает, что августовская ротация не охватила учётные данные, использованные в октябре.
- Не держите секреты в открытом виде в резервных копиях и храните ключи резервных копий отдельно. Компания сообщает, что резервные копии кластера содержали все секреты, а ключ, заменённый во время реагирования, попал в более позднюю резервную копию.
- Настройте оповещения о массовом чтении секретов. Компания сообщает, что более 16 часов активности 14 октября не вызвали ни одного оповещения, а инцидент обнаружили после сообщения пользователя.
Для ваших собственных приложений самый безопасный секрет — тот, который платформа вообще не хранит: краткоживущие учётные данные или отдельное хранилище секретов, из которого приложение читает их во время работы (см. что на самом деле опасно в .env и API-ключах).
Источники (публичные сведения)
Факты в статье основаны на перечисленных ниже публичных сведениях. Мы не строим догадок о путях проникновения, не подтверждённых компанией, и не воспроизводим индикаторы компрометации.
- Zeabur, «Zeabur October 2026 security incident (preliminary report)» (19 октября 2026 года) — zeabur.com
- Zeabur, «Zeabur service migration, refunds, and security incident claims» (22 октября 2026 года) — zeabur.com
- Zeabur, «Zeabur is shutting down: what happens next» (17 октября 2026 года) — zeabur.com
История обновлений
2026-10-31: Первая версия, основанная на предварительном отчёте Zeabur от 19 октября, объявлении о прекращении работы от 17 октября и уведомлении о требованиях по инциденту от 22 октября. По состоянию на 31 октября в блоге компании нет нового отчёта о расследовании. Статья будет обновлена при появлении новых сведений.
Читайте далее
- Инцидент того же типа: Возможная утечка переменных окружения Railway (октябрь 2026 года) / Взлом OpenCode Console (октябрь 2026 года)
- Почему целью становятся ключи ИИ: защита от кибератак с использованием ИИ / украденные API-ключи и блокировка аккаунтов
- Утёкшие ключи, которые остаются действительными: утёкшие учётные данные, которые остаются действительными
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года