Zeabur, një platformë hostimi dhe vendosjeje për zhvillues, njoftoi në tetor 2026 se do të mbyllet pas një shkeljeje të dytë sigurie brenda dy muajsh. Sipas kompanisë dhe raportimeve të shtypit, një sulmues përdori kredenciale të brendshme të rrjedhura, të ruajtura në tekst të thjeshtë, për të lexuar të dhëna për rreth 3.2 milionë rekorde variablash mjedisi dhe informacion për 321,810 llogari. Baza e të dhënave thuhet se u qasur më 14-15 tetor. Pjesa më e madhe e mbulimit është dytësore, ndaj shifrat e sakta vlen të kontrollohen te njoftimi i vetë Zeabur.
Variablat e mjedisit janë vendi ku aplikacionet mbajnë sekretet e tyre: çelësat API, fjalëkalimet e bazave të të dhënave, tokenët për shërbime të tjera. Rrjedhja e tyre nuk është rrjedhje e të dhënave të një kompanie - është një grup çelësash për sistemet e tjera të çdo klienti. Prandaj Zeabur i nxiti përdoruesit të rotojnë kredencialet dhe sekretet e ekspozuara, të anulojnë sesionet aktive dhe të rindërtojnë serverët e komprometuar, në vend që thjesht të ndërrojnë fjalëkalimin e llogarisë.
Kompania thotë se qasja erdhi nga kredenciale administratori dhe çelësa qasjeje cloud të rrjedhur, që ajo beson se u morën me shumë gjasa në shkeljen e mëparshme të gushtit, megjithëse kjo nuk është konfirmuar. Raportimet përshkruajnë sulmues që fituan akses root në 101 servera cloud dhe lidhën disqet e klientëve në makinat e tyre, dhe një burim thotë se një token administratori kishte qëndruar i pandryshuar në një depo konfigurimi që nga janari 2024.
Nëse kjo kronologji qëndron, nuk ishte një teknikë e re - ishte e njëjta derë, ende e pa-mbyllur. Pas një shkelje, kredencialet që u ekspozuan ose mund të jenë ekspozuar duhen trajtuar si të djegura: rotoji, të gjitha, përfshirë ato që askush nuk i kujton se i ka krijuar. Një kompani që heton dhe mbyll vrimën, por i lë çelësat e vjetër të vlefshëm, e ka rregulluar vetëm gjysmën e problemit.
Çfarë të kontrollosh këtë javë: ku jetojnë sekretet e tua (në një depo kodi, një skedar konfigurimi, një faqe wiki)? Kur u rotua secili për herë të fundit? A kanë çelësat e administratorit dhe të cloud-it datë skadimi dhe leje të ngushta? A mund t'i anulosh për minuta nëse të duhej? Variablat e mjedisit janë të përshtatshme, por nuk janë kasafortë - një menaxher sekretesh me rotacion dhe regjistra auditimi është.