Railway invita a cambiare i segreti, con i deploy ancora limitati

Cambiare una chiave esposta è urgente; farla usare all’applicazione può richiedere un deploy. È il problema in cui si trovano gli utenti di Railway, la piattaforma per distribuire applicazioni, dopo l’incidente del 21 ottobre. L’azienda raccomanda di sostituire tutti i segreti salvati nelle variabili d’ambiente: chiavi API, credenziali dei database e dei registri privati. I deploy sono però ripartiti solo per alcuni piani.

Railway riferisce che un soggetto non autorizzato potrebbe aver avuto accesso alle variabili cifrate e, per alcune, anche al contenuto decifrato. L’indagine iniziale suggerisce un impatto limitato a una parte degli utenti; la raccomandazione riguarda comunque tutti, in attesa delle comunicazioni ai singoli account coinvolti.

Sono stati invalidati tutti i token della Public API di Railway: le integrazioni che li usano richiedono nuovi token. Alle 10:01 italiane del 22 ottobre, i build risultavano disponibili per Pro ed Enterprise, con ritardi nelle partenze dei deploy. Hobby, Free e Trial erano ancora in attesa. Railway ha pubblicato guide separate per ruotare le credenziali e cercare usi anomali dei servizi collegati.