Атакуващи са използвали незашифровани вътрешни идентификационни данни, за да проникнат в инфраструктурата на платформата и да получат достъп до над 3,2 милиона записа с променливи на средата. Компанията планира да прекрати услугите си до края на декември 2026 г.
Платформата за разработка и внедряване на приложения Zeabur разкри подробности за киберинцидент от 14-15 октомври 2026 г., при който нападател е използвал изтекли вътрешни идентификационни данни и облачни ключове за достъп. Така атакуващият е проникнал в споделена хостинг инфраструктура, част от специализираните сървъри и вътрешни системи на компанията, достигайки до производствената база данни.
По данни на Zeabur инцидентът е засегнал 321 810 акаунта и приблизително 3,2 милиона записа с променливи на средата. Тези записи могат да съдържат чувствителни стойности, включително API ключове, пароли и други тайни, използвани от приложенията за връзка с външни услуги.
Достъп до сървъри и производствени данни
Zeabur предоставя среда, в която разработчиците могат да свържат GitHub хранилище и да автоматизират внедряването на приложения, бази данни и инфраструктурни услуги. Компрометирането на платформата създава риск не само за самата компания, но и за клиентските приложения и техните зависимости.
Според публикуваната информация атакуващите са проникнали в споделени клъстери в девет региона. Компанията е установила влизания с root права в 101 GCP сървъра от общо 92 потребителски акаунта. Нападателите са добавили SSH ключове към 50 сървъра и са прикачили 16 копия на клиентски дискове към собствени виртуални машини.
Тези действия показват, че атаката не се е ограничила до извличане на данни от базата. Добавянето на SSH ключове и копирането на дискове може да осигури устойчив достъп и възможност за анализ на съдържанието на компрометираните системи.
Последици от предишния пробив
Това е вторият сериозен инцидент за Zeabur в рамките на няколко месеца. През август 2026 г. нападатели са използвали уязвимост в приложението NextChat на клиент, след което са се придвижили през недостатъчно изолирани вътрешни системи. Тогава са били откраднати AWS идентификационни данни, а атакуващите са получили достъп до производствената база данни с информация за акаунти, API ключове и други тайни.
Zeabur предполага, че използваните при октомврийската атака данни за достъп може да са били откраднати още при августовския пробив, но не е потвърдила окончателно тази връзка.
Компанията признава и сериозни пропуски в управлението на достъпа. Администраторските токени не са имали срок на валидност и не са били сменяни от създаването им през януари 2024 г. Освен това не са били включени в ротацията на идентификационните данни след августовския инцидент, а административните портали са останали достъпни от публичния интернет.
Случаят показва как пропуските след първоначален пробив могат да се превърнат в предпоставка за повторно компрометиране. Откраднатите идентификационни данни запазват стойността си за нападателите, когато не бъдат своевременно оттеглени, а административните интерфейси продължават да са изложени.
Какво трябва да направят клиентите?
Zeabur призовава потребителите незабавно да сменят изложените пароли, ключове и други тайни, да оттеглят активните сесии и да изградят наново компрометираните GCP сървъри.
Клиентите трябва да проверят и всички приложения, които са използвали променливи на средата, съхранявани в платформата. При съмнение за изтичане е необходимо съответните ключове и пароли да бъдат оттеглени и генерирани отново, а логовете да се прегледат за необичайна активност. Самата смяна на паролата за акаунта не е достатъчна, ако отделни API ключове или токени продължават да са валидни.
Компанията уточнява, че променливите, които след августовския инцидент са били преместени изцяло на сървъри под контрола на клиентите, не са попаднали в последното изтичане от базата данни на платформата. Компрометирани хостове обаче все пак биха могли да изложат такава информация, ако тя е била достъпна там.
Zeabur ще прекрати услугите си до края на годината
След последния инцидент Zeabur обяви, че ще прекрати дейността си поетапно. От 1 декември 2026 г. подновяването на услугите ще бъде спряно, а работещите приложения в споделените клъстери ще бъдат паузирани. До 31 декември специализираните сървъри ще изтекат и ще бъдат изключени, а споделените клъстери ще спрат работа.
Компанията обяснява решението с нарастващата сложност на платформата и трудностите да поддържа услугите в съответствие с растящото търсене. След августовския инцидент екипът е обсъждал бъдещето на проекта, а последният пробив е довел до преоценка на отговорностите и ресурсите, необходими за продължаване на работата.
Zeabur допуска, че клиентите може да получат допълнително време за миграция на данните си, но засега не е обявила конкретен график.
За организациите, които използват платформата за производствени приложения, приоритетът е да започнат планиране на миграцията незабавно, без да чакат окончателното спиране на услугите. Това включва инвентаризация на приложенията и зависимостите, прехвърляне на бази данни и конфигурации, подмяна на тайните и проверка на работата в новата среда. Случаят е и напомняне, че управлението на идентификационните данни, ротацията след инцидент и ограничаването на административния достъп са критични мерки за предотвратяване на повторно компрометиране.
