Облачная платформа Railway предупредила о возможном раскрытии секретов приложений и рекомендовала всем клиентам заменить сохранённые ключи доступа. Подозрительную активность обнаружили утром 21 октября: по предварительной оценке компании, посторонний мог получить зашифрованные переменные окружения и часть их расшифрованного содержимого. В таких переменных приложения хранят, например, пароли баз данных и API-ключи внешних сервисов. Число затронутых клиентов пока не названо.

Railway сама заменила ключи всех хранилищ файлов и отозвала токены подключения аккаунтов GitHub. Но с ключами реестра GitHub ситуация другая: платформа удалила их из своих настроек, а на стороне GitHub они остаются действительными, пока владелец их не отзовёт. Удаление секрета у посредника не лишает силы его копию.

Одновременно Railway остановила сборки и развёртывание приложений. Это осложнило само восстановление: контейнер получает новые значения переменных при запуске, поэтому после замены ключей клиенту нужно заново развернуть сервис. Компания прямо признала, что во время остановки пользователи не могут обновить приложения новыми данными доступа.

По сообщению Railway от 22 октября, 21:08 UTC, сборки уже доступны тарифам Enterprise, Pro и Hobby, хотя могут занимать больше времени. Free и Trial ещё ждут, регистрация новых пользователей временно закрыта. Таким образом, призыв срочно заменить секреты оказался связан с ожиданием восстановления платформы: часть необходимых действий можно выполнить сразу, а применение новых ключей в приложениях зависит от возвращения развёртываний.

Railway предполагает, что затронута лишь часть пользователей, но просит принять меры всех. Способ проникновения и окончательный масштаб последствий компания ещё расследует; полный разбор обещан после завершения инцидента.