適用對象：在應用程式部署平台（PaaS）Zeabur 上部署應用程式或資料庫的開發者與維運人員，特別是把 AI 服務、金流、雲端或資料庫憑證等 API 金鑰放在環境變數中的人。本文根據 Zeabur 的官方初步報告與終止服務公告撰寫，不涵蓋攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
- 適用對象
在應用程式部署平台（PaaS）Zeabur 上部署應用程式或資料庫的開發者與維運人員，特別是把 AI 服務、金流、雲端或資料庫憑證等 API 金鑰放在環境變數中的人。
- 已確認的影響範圍查看表格 ↓
- 平台資料庫中的環境變數
- 帳號資料
- zSend API 金鑰
另外2項
- 平台 Access Token
- 公司稱為 GCP Dedicated Servers 的伺服器
- 尚未確認的事項
- 攻擊者如何取得最初的憑證
- 實際從共享叢集資料庫取走了多少資料
- 備份與其他儲存物件是否遭下載
另外1項
- 公司稱為 Hetzner and DigitalOcean Dedicated Servers 的伺服器外洩的權杖是否遭使用
- 現在要做的事查看步驟 ↓
- 到發行服務撤銷環境變數中的所有密鑰
- 共享叢集使用者：也要變更資料庫內部的密碼
- 重新建立 Zeabur Access Token 與 zSend API 金鑰
另外4項
- 如果連結了 GitHub，請檢查10月15日的稽核日誌
- 檢查10月14日以來的用量與帳單
- 如果蒙受損失，請在2026年11月30日前提出求償
- 專用伺服器使用者：若伺服器在範圍內，請視為已遭入侵
- 查證來源（出處）全部來源 ↓
- Zeabur，「Zeabur October 2026 security incident (preliminary report)」（2026年10月19日）— zeabur.com
- 最後查證
- 截至2026年10月31日
續報計畫與查證紀錄
10月19日的報告寫道：「調查仍在進行中，我們將隨調查進展更新本文。」截至10月31日，該頁面顯示的日期仍是10月19日。該公司部落格上之後唯一的公告，是10月22日關於退款與事件求償的文章，其中並未更新調查內容。
Zeabur 使用者今天應該做什麼
到發行服務撤銷環境變數中的所有密鑰
這包括 API 金鑰（AI 服務、金流、電子郵件）、雲端金鑰、資料庫密碼，以及簽章與加密金鑰。公司提出的順序是：先在服務提供者處撤銷舊的值，再建立新的值，在 Zeabur 上設定並重新部署。
只在 Zeabur 上刪除或修改變數，無法阻止他人使用已經拿到的副本。即使您在8月事件後更換過該值，也同樣適用，因為公司表示，8月的輪替並未涵蓋此次遭使用的憑證。
共享叢集使用者：也要變更資料庫內部的密碼
公司表示，在 Zeabur 上變更環境變數不會變更資料庫內部的密碼。變更密碼也無法挽回已經外洩的資料。如果您的資料庫中存有您自己使用者的密碼雜湊、登入工作階段或權杖，也請撤銷並重新產生。
公司也要求使用者：
- n8n：更換 n8n 加密金鑰，並重新建立儲存在 n8n 中的所有第三方憑證
- new-api/one-api：撤銷上游 AI 服務的金鑰，並重新產生存取權杖
- PostgreSQL：檢查是否有您不認得的角色、函式、觸發程序、排程工作或擴充套件；若有疑慮，請建立新的資料庫，只匯入資料
- 台北（tpe1）與香港（hkg1）區域：將資料庫備份中的資料視為已外洩
重新建立 Zeabur Access Token 與 zSend API 金鑰
公司表示，所有使用者都已被登出，所有平台 Access Token 都已撤銷。請重新登入，在 Access Token 頁面建立新的權杖，並檢查是否有您不認得的請求。zSend 使用者需要重新建立 zSend API 金鑰（全部566組已撤銷）。
如果連結了 GitHub，請檢查10月15日的稽核日誌
公司表示，Zeabur GitHub App 的私鑰遭讀取，已於10月15日18:54（UTC）更換，目前尚未發現遭使用。公司要求使用者檢查 GitHub 稽核日誌中10月15日15:05至18:54（UTC）期間 Zeabur GitHub App 的操作：非預期的 clone 或 push、新增的部署金鑰，以及遭修改的 webhook。
檢查10月14日以來的用量與帳單
查看您曾存放金鑰的各項服務自2026年10月14日以來的用量與帳單。公司表示，這是已知最早使用這些憑證的時間，並不能證明在此之前沒有外洩。使用標示為「GCP Dedicated Servers」之專用伺服器的使用者，應回溯至9月1日。關於遭竊的 AI 金鑰為何會很快變成帳單，請參閱被盜的 API 金鑰與帳號停權。
如果蒙受損失，請在2026年11月30日前提出求償
公司10月22日的通知表示，10月事件造成的損失求償，必須在2026年11月30日前以另外的 Zeabur Support 工單提出，僅受理截止前提出的申請。公司要求提供受影響的帳號與服務、外洩的金鑰或憑證類型，以及涵蓋事件期間的第三方帳單或用量紀錄。求償與帳號餘額退款分開處理。
專用伺服器使用者：若伺服器在範圍內，請視為已遭入侵
對於標示為「GCP Dedicated Servers」的專用伺服器，公司表示應視為已遭入侵。請備份資料並重建伺服器；這是清除殘留物最可靠的方法。如果無法立即重建，公司提出的最低限度步驟是：移除您不認得的 SSH 金鑰，檢查帳號、排程工作與服務，變更 root 密碼並關閉 SSH 的密碼登入，以及更換伺服器上的所有憑證。公司的報告列出了需要檢查的跡象；請在官方頁面上確認。
對於公司稱為「Hetzner and DigitalOcean Dedicated Servers」的伺服器，公司要求您在供應商的主控台中確認，10月14日之後 root 密碼是否遭重設，或系統是否遭重新安裝。
發生了什麼（依據 Zeabur 的報告）
以下內容根據 Zeabur 於2026年10月19日發布的初步報告（另有日文與其他四種語言版本）。所有時間均為 UTC。
2026年8月
Zeabur 發生另一起資安事件。公司表示，事後的輪替並未涵蓋10月遭使用的憑證。10月14日 01:36
已知攻擊者最早使用 Zeabur 內部雲端金鑰的時間，隨後存取了共享叢集。10月15日 13:56
Zeabur 在接獲使用者回報後開始調查。10月15日 16:10–16:47
攻擊者讀取平台資料庫（公司已確認）。10月15日 20:25
Zeabur 輪替登入簽章金鑰；所有使用者被登出。10月15日 21:05
目前觀察到的攻擊者最後活動。10月17日
Zeabur 宣布將於2026年12月31日終止服務。10月19日
Zeabur 發布此次事件的初步報告。10月22日
Zeabur 將事件求償截止日期訂為2026年11月30日，並表示服務資料將於12月31日刪除。
儲存在 Zeabur 上：已遭讀取
儲存在 Zeabur 平台資料庫中的環境變數，包括從未搬移的專案
8月後移到自己的專用伺服器
不在平台資料庫遭讀取的範圍內。若伺服器本身在範圍內，其中的密鑰仍需更換
無論哪一種情況，公司都要求所有使用者更換密鑰。這個區分只代表暴露的確定程度。
- 發生了什麼
- 攻擊者利用外洩的 Zeabur 內部憑證侵入共享叢集、部分專用伺服器與內部系統，並讀取了平台資料庫
- 遭讀取的資料
- 環境變數（3,218,965筆紀錄）、帳號資料（321,810個帳號）、zSend API 金鑰（566組），以及以不可逆雜湊儲存的平台 Access Token（11,536個，已全部撤銷）
- 其他系統
- 在共享叢集上的865個資料庫容器內執行了指令；在公司稱為 GCP Dedicated Servers 的伺服器中，有101台確認遭以 root 身分登入
- 原因（公司）
- 長期有效的管理員憑證以明文儲存，而且可以從公開網際網路使用。公司表示，根本原因在 Zeabur 這一方
- 因應
- 撤銷遭使用的憑證，封鎖對管理介面與伺服器的公開 SSH，登出所有使用者，撤銷所有 Access Token
- 補償
- 事件導致第三方 API 金鑰或雲端帳號產生的額外費用，可在2026年11月30日前透過支援工單申請（10月22日的通知）
已知與未知的內容
截至2026年10月31日的狀態。公司自己的用語為「已確認」（日誌直接記錄了該事實）、「推定」（時間與內容吻合，但沒有直接紀錄）、「無法確認」（沒有可供核對的紀錄；以已外洩處理）與「假設」（僅有間接證據支持的一種可能解釋）。狀態欄沿用這些用語。有後續消息時，將予以更新。
| 項目 | 報告內容 | 狀態 |
|---|---|---|
| 平台資料庫中的環境變數 | 3,218,965筆紀錄（名稱與值）遭讀取 | 已確認（公司） |
| 帳號資料 | 321,810個帳號：電子郵件、使用者名稱、電話號碼等，以及專案資料 | 已確認（公司） |
| zSend API 金鑰 | 以明文儲存的566組金鑰，已全部撤銷 | 已確認（公司） |
| 平台 Access Token | 僅以不可逆雜湊儲存的11,536個權杖，已全部撤銷 | 已確認（公司） |
| 共享叢集的環境變數與密鑰 | 9個區域；部分已確認，其餘以已外洩處理 | 部分已確認；其餘無法確認（公司） |
| 共享叢集資料庫的內容 | 在865個資料庫服務中執行了指令；取走了多少無法確認 | 推定（公司） |
| 公司稱為 GCP Dedicated Servers 的伺服器 | 確認101台伺服器（92名使用者）遭以 root 身分登入 | 已確認（公司） |
| 資料庫備份（台北 tpe1、香港 hkg1） | 是否遭下載無法確認。另外，公司表示，一台遭入侵主機上的證據確認，攻擊者於10月15日15:42（UTC）取得了一份客戶資料庫備份 | 無法確認（公司） |
| 公司稱為 Hetzner and DigitalOcean Dedicated Servers 的伺服器 | 管理權杖外洩；是否遭使用無法確認 | 無法確認（公司） |
| 雙因素驗證與通行金鑰資料 | 僅查詢了統計資訊；沒有內容遭讀取的紀錄 | 無內容遭讀取的紀錄（公司） |
| 最初的憑證如何取得 | 無法確認；與8月事件的關聯是未經證實的假設 | 無法確認（公司） |
| 外洩金鑰遭濫用 | 一名使用者的 AI 服務金鑰在10月16日被用於約1,107次請求；公司表示，認為其來自此次外洩只是假設 | 假設（公司） |
如何解讀：「無法確認」也代表要輪替
公司表示，凡是無法排除未經授權存取之處，都假定資料可能已遭暴露。對您自己的密鑰而言，「已確認」「推定」與「無法確認」在實務上差別不大：都代表要撤銷並更換。
外洩的環境變數可能導致什麼
一般而言，從環境變數中被取走的密鑰可能遭到以下濫用。這並不表示此次已經全部發生。
- AI 服務 API 金鑰：他人用您的帳號發送請求，帳單由您負擔。公司觀察到，攻擊者主要在尋找可以直接使用的金鑰，尤其是 AI 服務的金鑰
- 資料庫密碼與連線字串：讀取或竄改您應用程式的資料，包括您自己使用者的紀錄
- 簽章與加密金鑰：偽造工作階段權杖，或解密您的應用程式所保護的資料
- 雲端與金流金鑰：建立資源或發出需要付費的呼叫
過去的例子：在 Railway 環境變數事件之後，該託管公司將可能已暴露的金鑰清單提供給發行服務，以便撤銷。此次未必會以同樣的方式發展，所以請自行撤銷金鑰。
給營運者：從公司揭露的內容得到的教訓
以下要點來自公司自己列出的原因與缺口，並不是對 Zeabur 的進一步評價。
- 為管理權杖設定有效期限，並讓管理介面不對公開網際網路開放。 公司表示，其叢集管理權杖沒有有效期限，自2024年1月以來從未輪替，而且管理介面可以從網際網路存取。
- 事件發生後，輪替所有可能遭讀取的憑證，而不只是已確認外洩的憑證。 公司表示，8月的輪替並未涵蓋10月遭使用的憑證。
- 不要讓明文密鑰進入備份，並將備份金鑰分開保管。 公司表示，叢集備份中包含所有密鑰，而且在因應過程中輪替的一組金鑰，被之後的一次備份記錄了下來。
- 針對大量讀取密鑰的行為設定警示。 公司表示，10月14日超過16小時的活動沒有觸發任何警示，事件是在使用者回報後才被發現的。
對您自己的應用程式而言，最安全的密鑰是平台從不儲存的密鑰：短期有效的憑證，或由應用程式在執行時讀取的獨立密鑰儲存庫（參閱 .env 與 API 金鑰究竟危險在哪裡）。
來源（公開紀錄）
本文中的事實根據以下公開資訊。對於公司尚未確認的入侵途徑，本文不做推測，也不轉載入侵指標。
- Zeabur，「Zeabur October 2026 security incident (preliminary report)」（2026年10月19日）— zeabur.com
- Zeabur，「Zeabur service migration, refunds, and security incident claims」（2026年10月22日）— zeabur.com
- Zeabur，「Zeabur is shutting down: what happens next」（2026年10月17日）— zeabur.com
更新紀錄
2026-10-31：首次發布，依據 Zeabur 10月19日的初步報告、10月17日的終止服務公告，以及10月22日關於事件求償的通知。截至10月31日，該公司部落格上沒有新的調查報告。有後續消息時，本文將予以更新。
延伸閱讀
- 同類事件：Railway 環境變數可能外洩（2026年10月） ／ OpenCode Console 資安事件（2026年10月）
- AI 金鑰為何成為目標：防禦 AI 驅動的網路攻擊 / 被盜的 API 金鑰與帳號停權
- 外洩後仍然有效的金鑰：外洩後仍然有效的憑證
- 2026年其他事件：2026年資料外洩與網路攻擊