Bulut platformu Railway olası ihlal sonrası geliştiricilerden tüm sırlarını yenilemesini istedi

Geliştiricilerin uygulamalarını hızlıca yayına almak için kullandığı bulut platformu Railway, müşteri ortam değişkenlerini (environment variables) barındıran sistemlerinde şüpheli etkinlik tespit ettiğini duyurdu. Şirket, 21 Ekim 2026 tarihli açıklamasında tüm kullanıcılarına sırlarını yenilemeleri çağrısında bulundu.

Ne oldu?

Railway'in şu ana kadarki incelemesine göre yetkisiz bir üçüncü taraf, şifreli ortam değişkenlerine erişmiş ve bazı durumlarda bunların çözülmüş içeriğini de elde etmiş olabilir. Ortam değişkenleri genellikle API anahtarları, veritabanı ve imaj deposu (registry) kimlik bilgileri gibi kritik sırları barındırıyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Şirket, ilk analizlere göre kullanıcıların yalnızca bir alt kümesinin etkilenmiş olabileceğini belirtti; kesin sayı açıklanmadı. Railway'in yaklaşık 4,8 milyon kullanıcısı ve 16 milyonu aşkın servisi bulunuyor. Saldırının kaynağı açıklanmadı; ancak şirket olayı, yapay zekâ çıkarım (inference) sağlayıcılarını hedef alan bir saldırı serisinin parçası olarak tanımladı. Bu sağlayıcılar bilgilendirildi ve tüm anahtarlarını iptal etmeleri önerildi.

Dağıtımlar durduruldu

Railway, inceleme tamamlanana kadar tüm dağıtımları geçici olarak durdurdu. 22 Ekim sabahı itibarıyla Pro ve Enterprise çalışma alanlarında derleme (build) işlemleri yeniden başlatıldı, ancak dağıtımlar kuyrukta bekliyordu. Hobby, Free ve Trial katmanlarında ise hizmetlerin bu sırayla açılması planlanıyor. Şirket, hesabı kesin olarak ele geçirildiği tespit edilen kullanıcılarla doğrudan iletişime geçeceğini açıkladı.

Sır yönetimi sorunu

Olay, PaaS platformlarında sırların merkezi olarak tutulmasının yarattığı yoğunlaşma riskini gösteriyor. Tek bir platformdan çalınan anahtarlar; bulut hesapları, ödeme sağlayıcıları ve yapay zekâ API'leri gibi çok sayıda başka hizmete açılan kapıya dönüşebiliyor. Aynı ay benzer bir platform olan Zeabur da ortam değişkenlerini etkileyen ikinci bir ihlal yaşadığını açıkladı.

Ne yapılmalı?

• Railway'de saklanan tüm ortam değişkenlerini ve sırları, etkilendiğinizden emin olmasanız bile yenileyin.
• Özel registry kimlik bilgilerini de rotasyona dahil edin.
• İlgili servislerin (veritabanı, bulut, yapay zekâ API'leri) erişim kayıtlarını olağandışı etkinlik açısından inceleyin.
• Uzun ömürlü anahtarlar yerine kısa ömürlü belirteçler ve ayrı bir sır yönetim aracı kullanmayı değerlendirin.