Railway je pozvao sve korisnike da zamijene ključeve poslije upada u sisteme s promjenljivim okruženja
Platforma za postavljanje aplikacija navodi da je neovlašćena strana možda došla do sistema u kojima čuva promjenljive okruženja korisnika i da je dio njih dešifrovala. Railway smatra da je pogođen samo dio korisnika, ali od svih traži da zamijene ključeve. Uputstva za oporavak dodaju da su sesije, tokeni i veze s GitHubom opozvani, a da izmjene poslate tokom zastoja nikad nisu postavljene.
Railway, platforma na kojoj programeri postavljaju i pokreću svoje aplikacije, objavio je 21. oktobra 2026. da je neovlašćena strana možda pristupila šifrovanim promjenljivim okruženja njegovih korisnika. Za dio tih promjenljivih napadač je dobio i dešifrovan sadržaj. U promjenljivim okruženja aplikacije obično čuvaju API ključeve i lozinke za baze podataka, pa kompanija preporučuje da svaki korisnik zamijeni sve što je tamo upisao.
Šta Railway kaže da se dogodilo
Kompanija navodi da je tog jutra primijetila neuobičajenu aktivnost u sistemima u kojima se čuvaju promjenljive okruženja korisnika. Railway smatra da je napad dio niza usmjerenog na platforme, s ciljem da se kompromituju pružaoci AI izvođenja, odnosno servisi koji za klijente pokreću modele. Kompanija kaže da je od tih pružalaca zatražila da opozovu sve ključeve.
Prema početnoj analizi kompanije, pogođen je samo dio korisnika. Railway nije objavio koliko ih je, niti kako su napadači ušli. Tokom istrage su pauzirana sva postavljanja novih verzija, a kompanija kaže da će pogođene korisnike obavijestiti elektronskom poštom kad ih potvrdi.
Šta korisnici treba da urade
Saopštenje i dva uputstva za oporavak objavljena 23. oktobra 2026. zajedno navode sljedeće korake:
- Zamijeniti svaku promjenljivu okruženja upisanu u Railway, uključujući API ključeve i pristupne podatke za privatne registre, i pregledati zapise tih servisa na neuobičajenu aktivnost.
- Ponovo se prijaviti, jer su sve sesije prijave opozvane. Prijava mora ići preko istog Gmail naloga, GitHub naloga ili adrese kao ranije, jer drugi identitet pravi nov, prazan nalog.
- Ponovo povezati GitHub, jer su i te veze opozvane, a zatim još jednom pokrenuti Deploy Latest Commit.
- Napraviti nove vrijednosti
RAILWAY_TOKENiRAILWAY_API_TOKENza CI cjevovode, a u komandnoj liniji pokrenutirailway logoutparailway login.
Izmjene koje nisu postavljene
Izmjene poslate u repozitorijum koda dok su postavljanja bila pauzirana nisu stavljene u red čekanja. Prema uputstvu kompanije, servis radi na posljednjoj uspješno postavljenoj verziji dok neko ne pokrene novo postavljanje. Ispravka poslata tokom zastoja zato možda ne radi na serveru, iako se izmjena vidi u repozitorijumu.
„Promjenljive okruženja mogu da sadrže tajne vrijednosti kao što su API ključevi ili pristupni podaci za baze i registre.“
Izvori
Povezano
Google je izmijenio politiku privatnosti i dozvolio oglase prilagođene sadržaju iz Gmaila, Drivea i Photosa
Do 16. oktobra 2026. Googleova politika privatnosti bez izuzetka je obećavala da se sadržaj iz Drivea, Gmaila i Photosa ne koristi za personalizovane oglase. Nova verzija uvodi izuzetak za podatke koje korisnik sam učini dostupnim servisima koji podržavaju takve oglase. Navodi i da pretraga podatke kojima korisnik dozvoli pristup može koristiti za prilagođavanje oglasa.
Googleprovjereno
Projekat PHP ispravio je dvije kritične ranjivosti koje bez prijave omogućavaju pokretanje koda na serveru
Verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35 zatvaraju dvije ranjivosti zbog kojih napadač pod određenim uslovima može da izvrši kod bez ikakvih pristupnih podataka. Pogođena je svaka instalacija PHP-a koja odgovara na veb zahtjeve. Amazon navodi da je prvi pokušaj napada zabilježio 17. oktobra, četiri dana prije nego što je ispravka postala javna.
The PHP Foundationprovjereno
Node.js ispravlja 10 ranjivosti u verzijama 26, 24 i 22, od kojih su četiri visoke ozbiljnosti
Projekat Node.js objavio je 21. oktobra 2026. bezbjednosna izdanja 26.12.1, 24.22.1 i 22.23.4. Najozbiljnije ispravke odnose se na grešku u Brotli dekoderu, koja prema projektu omogućava izvršavanje udaljenog koda, i na nekoliko načina da se zaobiđe provjera imena domaćina u TLS vezi. Izdanja ažuriraju i korijenske sertifikate poslije kompromitovanja ključeva firme eMudhra.
Node.jsprovjereno