Railway Ortam Değişkenleri İhlali: Tüm Kullanıcılara Acil Sır Rotasyonu Çağrısı 10-23-2026, 08:26 AM
Selamlar,
Geliştirici bulut platformu Railway, 21 Ekim 2026 sabahı müşteri ortam değişkenlerini (environment variables) saklayan sistemlerde anormal etkinlik tespit ettiğini açıkladı. Şirketin ifadesine göre yetkisiz bir üçüncü taraf şifrelenmiş ortam değişkenlerine erişmiş ve bir kısmının şifresi çözülmüş içeriğini elde etmiş olabilir. BleepingComputer'a göre Railway'in yaklaşık 4,8 milyon kullanıcısı ve 16 milyondan fazla servisi var.
Konuda anlatılacaklar
- Ne oldu?
- Railway'in kendi aldığı önlemler
- Kullanıcı olarak yapmanız gerekenler
- Bucket ve GitHub sıfırlamasından sonra servisi ayağa kaldırmak
- Platform ihlallerinden çıkarılacak ders
Ne oldu?
- Railway olayı, son dönemde YZ çıkarım (inference) sağlayıcılarını ele geçirmeyi amaçlayan platform şirketlerine yönelik saldırı serisinin parçası olarak görüyor ve bu sağlayıcılara tüm anahtarları proaktif olarak iptal etmelerini bildirdi.
- İlk analiz etkinin bir kullanıcı alt kümesiyle sınırlı olabileceğini gösterse de şirket tüm kullanıcılara önlem almalarını önerdi.
- Soruşturma süresince tüm deploy'lar durduruldu. 22 Ekim'de Pro ve Enterprise için build'ler geri açıldı; Hobby, Free ve Trial sırayla açılacak.
- TechCrunch'a göre kök neden açıklanmadı; CEO Jake Cooper bir post-mortem yayımlanacağını söyledi.
Railway'in aldığı önlemler
- 22 Ekim 04:39 UTC itibarıyla tüm Railway API token'ları geçersiz kılındı. Public API entegrasyonlarınız için yeni token üretmeniz gerekiyor.
- Her ortamdaki her storage bucket'ın ACCESS_KEY_ID ve SECRET_ACCESS_KEY değerleri yenilendi.
- Railway'in tuttuğu GitHub token'ları geçersiz kılındı; registry kimlik bilgisi olarak saklanan GitHub token'ları Railway'den silindi. Ancak bu token'lar GitHub tarafında siz iptal edene kadar hâlâ çalışıyor.
Yapmanız gerekenler
- Railway'de saklanan tüm ortam değişkenlerini döndürün: veritabanı parolaları, üçüncü taraf API anahtarları (ödeme, e-posta, YZ sağlayıcıları), JWT imzalama anahtarları.
- Özel registry kimlik bilgilerini yenileyin.
- GitHub'da Railway'e verilmiş personal access token'ları ve deploy key'leri kendiniz iptal edin, ardından bağlantıyı yeniden kurun.
- Döndürdüğünüz her anahtarın sağlayıcı tarafındaki loglarını (bulut, ödeme, YZ API kullanım panelleri) 21 Ekim öncesinden itibaren inceleyin.
Bucket ve GitHub sonrası yeniden deploy
Railway'in rehberine göre konteynerler değişkenleri yalnızca başlangıçta okur. Bucket'ın yeni kimlik bilgileri hazır ama servisinizin yeniden deploy edilmesi gerekiyor:
Kod:
railway redeploy --service uploads-api
railway bucket credentials --bucket my-bucketDers
PaaS platformundaki env değişkenleri, uygulamanızın tüm dış dünyaya açılan anahtarlık halkasıdır. Kısa ömürlü kimlik bilgileri (OIDC, workload identity), anahtar başına en az yetki ve harcama limitleri, platform ihlal olduğunda patlama yarıçapını ciddi şekilde küçültür.
Railway veya benzeri bir PaaS kullanıyorsanız sır rotasyonunu ne kadar sürede tamamlayabildiniz? Otomasyon önerilerinizi paylaşın.
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar