Утечка Zeabur затронула свыше 3,2 млн записей с переменными окружения и данные 321 810 аккаунтов. После второй серьёзной атаки за два месяца платформа для развёртывания приложений объявила о закрытии: с 1 декабря 2026 года сервисы начнут останавливать, а к концу года инфраструктура должна прекратить работу. Для команд, которые отдают деплой и секреты PaaS-провайдеру, это не просто история о чужой ошибке, а довольно наглядный чек-лист того, как не надо обращаться с доступами.
Как сообщает BleepingComputer, злоумышленники проникли в инфраструктуру Zeabur 14–15 октября, использовав внутренние учётные данные и облачные ключи, оказавшиеся у них в распоряжении. Они получили доступ к общим кластерам, части выделенных серверов и внутренним системам компании, а затем прочитали базу данных платформы. Zeabur позволяет подключить GitHub-репозиторий и передать сервису развёртывание, базы данных, HTTPS и управление инфраструктурой. В такой модели переменные окружения обычно содержат именно то, что особенно интересно атакующим: токены, пароли, ключи API и строки подключения.
Масштаб инцидента заметно превышает августовскую атаку. Под удар попали shared-кластеры в девяти регионах, 321 810 учётных записей и примерно 3,2 млн записей environment variables. Компания также подтвердила root-входы на 101 сервере GCP, выполненные 92 пользователями. На 50 серверах атакующие добавили SSH-ключи, а копии 16 клиентских дисков подключили к собственным виртуальным машинам. Формулировки здесь важны: речь не только о потенциально скомпрометированной базе, но и о действиях внутри серверной среды, где секреты могли быть доступны напрямую.
Причина выглядит особенно болезненно для платформы, работающей с инфраструктурой разработчиков. Административные токены хранились в открытом виде, не имели срока действия и не менялись с момента создания в январе 2024 года. После августовского взлома их не включили в процедуру ротации. Административные порталы при этом были доступны из публичного интернета. Zeabur предполагает, что использованные во второй атаке учётные данные могли быть похищены ещё в августе, хотя окончательно эту связь не подтвердила.
Первая атака произошла в конце августа 2026 года. Тогда злоумышленники воспользовались уязвимостью в клиентском приложении NextChat, после чего смогли перемещаться по недостаточно изолированным внутренним системам Zeabur. Итогом стали кража AWS-учётных данных, доступ к production-базе и раскрытие данных аккаунтов, API-ключей и других секретов. После такого инцидента обычно проверяют все доверенные учётные данные, закрывают лишние точки администрирования и предполагают, что атакующий уже мог оставить себе запасной вход. В истории Zeabur этот набор базовых мер, судя по опубликованным деталям, сработал не полностью.
Пользователям компания советует немедленно заменить скомпрометированные секреты, отозвать активные сессии и пересобрать затронутые GCP-серверы. Простая смена пароля приложения здесь недостаточна. Если ключ попал в переменную окружения, его следует считать раскрытым независимо от того, есть ли в логах подтверждённое использование. Это относится к токенам GitHub и GitLab, ключам облачных провайдеров, доступам к базам данных, платежным шлюзам, почтовым сервисам и сторонним API. Для серверов, где могли появиться чужие SSH-ключи, безопаснее разворачивать новые экземпляры из проверенных образов, а не пытаться вычистить старые вручную.
Есть и ограниченно хорошая новость для части клиентов. Переменные, которые после августовского инцидента были перенесены исключительно на собственные серверы заказчиков, не попали в новую экспозицию базы данных платформы. Но это не отменяет проверку хостов: если сам сервер был скомпрометирован, секреты на нём всё равно могли стать доступными атакующему. Разделение ответственности в облаке не превращается в индульгенцию: провайдер отвечает за свою платформу, а команда — за жизненный цикл ключей, резервные планы и возможность быстро переехать.
Утечка Zeabur превращается ещё и в задачу по миграции. С 1 декабря сервис отключит продление подписок и приостановит работающие сервисы на общих кластерах. К концу декабря должны истечь и выключиться выделенные серверы, а shared-кластеры прекратят работу. Компания допускает дополнительное время на перенос данных, но конкретных сроков пока не назвала. Командам стоит заранее выгрузить базы и конфигурации, описать инфраструктуру вне панели провайдера, проверить DNS, доменные сертификаты, очереди, cron-задачи и внешние интеграции. Самый неприятный миграционный баг обычно находится не в контейнере, а в давно забытом токене или записи DNS.
Zeabur объяснила решение закрыть сервис тем, что за 3,5 года роста платформа стала слишком сложной для безопасной дальнейшей эксплуатации, а два инцидента заставили пересмотреть возможности команды и её ответственность перед клиентами. Это редкий, но честный сигнал: рост пользовательской базы не компенсирует технический долг в управлении доступами. Для рынка платформ разработки вывод не сводится к «не храните секреты открытым текстом» — хотя и этого иногда оказывается достаточно. Надёжность PaaS теперь измеряется не только удобством деплоя, но и тем, как быстро провайдер отзывает доступы, изолирует среду и даёт клиентам путь к самостоятельному восстановлению. После этой истории вопрос к любому такому сервису будет звучать очень приземлённо: сколько живёт его админ-токен и кто заметит, если им уже пользуется кто-то чужой?
