Plataforma Railway · Vazamento

Railway confirma até 100 mil workspaces com variáveis potencialmente expostas

20 de out. de 2026 · 1 min de leitura

A Railway, plataforma de hospedagem, sofreu uma invasão entre 20 e 22 de outubro de 2026 em que, segundo a empresa, um atacante buscou chaves de provedores de IA e obteve variáveis de ambiente descriptografadas de clientes; no máximo 1,85% dos workspaces (cerca de 100 mil) foram potencialmente afetados. O acesso do atacante terminou em 22 de outubro, builds e deploys foram restaurados e a perícia segue em andamento. Quem criou conta antes de 21 de outubro deve rotacionar todas as chaves armazenadas na plataforma.

Por Redação HIFY Radar Atualizado 26/10/2026 13:20 Receba isso todo dia →← Voltar ao feed 3 fontes

AltaVazamentoSem software a atualizar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Railway, plataforma de hospedagem, reportou invasão com acesso de um atacante a sistemas internos entre 20 e 22 de outubro de 2026. Segundo a empresa, o objetivo era obter chaves de API de provedores de IA; no máximo 1,85% dos workspaces (cerca de 100 mil) tiveram variáveis de ambiente potencialmente comprometidas. O acesso do atacante foi encerrado em 22 de outubro e a investigação forense segue em andamento, com especialistas externos e autoridades.

Por que importa

Variáveis de ambiente costumam conter chaves de API e credenciais de bancos e registros, o que pode dar a terceiros acesso a sistemas e dados fora da Railway. Durante o incidente, builds e deploys foram interrompidos, com períodos de indisponibilidade de dashboard, API, CLI e suporte. A própria Railway diz que mais de 100 mil usuários receberam pedidos de redefinição de chaves de provedores.

O que fazer

Rotacionar imediatamente todas as chaves e variáveis armazenadas na Railway (recomendado a quem criou conta antes de 21 de outubro), revogar no GitHub os tokens usados como credenciais de registro, revisar logs dos serviços e dos buckets, e redeployar serviços após as redefinições de credenciais feitas pela Railway.

Para o time técnico

Afetados: Plataforma Railway (variáveis de ambiente de projetos de clientes) · Projetos de clientes com segredos armazenados como variáveis de ambiente da Railway. No máximo 1,85% dos workspaces (cerca de 100 mil) com variáveis potencialmente comprometidas; a Railway recomenda rotação a todos que criaram conta antes de 21 de outubro.
Exploração: Exploração confirmada pela própria Railway, com janela de acesso do atacante de 20 de outubro 13:58 UTC a 22 de outubro 03:32 UTC. A perícia indica busca por alvos de alto valor: workspaces com muitas variáveis de ambiente ou muitas chaves de IA. Não há CVE nem KEV; não é falha de produto.
Correção: Sem patch (intrusão, não vulnerabilidade). Mitigações: invalidação de sessões de usuário; a Railway redefiniu as credenciais S3 (ACCESS_KEY_ID e SECRET_ACCESS_KEY) de todos os buckets em todos os ambientes, invalidou os tokens GitHub de conexão de conta e removeu da plataforma os tokens GitHub armazenados como credenciais de registro; serviços precisam de redeploy e o GitHub deve ser reconectado manualmente. Clientes devem rotacionar todas as chaves e revogar no GitHub os antigos tokens de ghcr.io.
Vetor: Escalação de privilégio na infraestrutura de build da Railway por atacante externo, com escalada paralela em várias partes do sistema. O atacante consultou variáveis de ambiente criptografadas no banco; depois obteve credenciais do ambiente de CI e descriptografou artefatos com acessos adicionais de API, descriptografando um subconjunto das variáveis com a combinação das credenciais comprometidas. Segundo a Railway, o alvo eram chaves de provedores de IA para ataques de destilação. Detecção inicial por latência anormal em 20 de outubro, 13:58 UTC.
Mais detalhes: A Railway acionou especialistas externos de resposta a incidentes e as autoridades. Notificou provedores (GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI, Stripe e outros) em 21 de outubro, 09:25 UTC e, por cautela, forneceu a alguns (GitHub, SpaceXSI) todas as chaves presentes na plataforma, ampliando os avisos de revogação além dos 100 mil workspaces. A empresa afirma que contas de usuário não foram acessadas e que acesso a código-fonte não está descartado até o relatório final. Segundo a Railway, o atacante tinha acesso a modelos 'abliterated' e recursos computacionais substanciais. Descoberta pelo monitoramento da própria Railway; cobertura por BleepingComputer e The Hacker News. Builds e deploys, pausados durante o incidente, foram totalmente restaurados em 22 de outubro (17:00 a 22:49 UTC).