Zeabur、再侵入で環境変数321万件を読み取られる―認証情報の更新に漏れ

Zeaburは2026年10月19日、14〜15日（UTC）の不正アクセスに関する暫定報告を公開しました。プラットフォームのデータベースから環境変数321万8,965件と32万1,810アカウントの情報が読み取られたことを確認しています。

攻撃には、平文で保管されていた内部の認証情報が使われました。共有クラスターの管理画面はインターネットから接続でき、管理トークンには有効期限がありませんでした。8月の侵害後にも更新対象から漏れており、侵入後は内部ネットワークを経由してデータベースへ到達しています。最初に認証情報を取得した方法は未確定です。

同社は入口の制限とキーの失効を実施しましたが、持ち出された情報は引き続き悪用され得ます。利用者には、8月以降に更新済みでも保存していたAPIキーやパスワードを再更新するよう要請。侵害されたGCP専用サーバーは再構築を案内しています。

同社は17日にサービス終了も発表しています。12月1日から順次停止し、31日に全専用サーバーと共有クラスターを終了する予定です。すべてのサービスが31日まで動くわけではないため、契約期限に合わせた移行が必要です。