Railway、環境変数を保管するシステムに不正アクセス　一部は復号済みの値が取得された可能性、全ユーザーにシークレットのローテーションを推奨

Railwayの公式ブログによると、調査の結果、権限のない第三者が暗号化された環境変数にアクセスし、その一部について復号後の内容を取得した可能性がある。環境変数にはAPIキーやデータベース、レジストリの認証情報が含まれうる。同社は、AI推論プロバイダーを狙った一連の攻撃の一部とみている。全ユーザーに対し、Railwayに保存したすべての環境変数とプライベートレジストリの認証情報をローテーションしるよう求めている。調査中はすべてのデプロイが停止された。さらにRailway側で全ストレージバケットのS3認証情報と、保持していたGitHubトークンをリセットしており、新しいバケット認証情報を使うには対象サービスの再デプロイ、GitHub連携には再接続が必要になる。BleepingComputerによると、Railwayのユーザーは約480万人、サービスは約1,600万に上る。10月22日08:44 UTC時点でProとEnterpriseのビルドは再開済みで、Hobby、Free、Trialは順次再開の予定だった。