Railway bị xâm nhập hệ thống lưu biến môi trường của khách hàng. Railway là nền tảng triển khai ứng dụng (PaaS) được nhiều lập trình viên dùng để chạy web, API và cơ sở dữ liệu. Theo thông báo bảo mật của Railway ngày 21/10/2026, một bên thứ ba trái phép có thể đã truy cập biến môi trường đã mã hóa, và với một số biến đã lấy được nội dung giải mã. Railway khuyên người dùng đổi ngay mọi secret lưu trên nền tảng.

Tóm tắt nhanh

  • Phát hiện: sáng 21/10/2026, hoạt động bất thường trên hệ thống lưu biến môi trường.
  • Có thể bị lộ: khóa API, mật khẩu cơ sở dữ liệu, thông tin đăng nhập registry riêng.
  • Phạm vi: theo phân tích ban đầu, chỉ một phần người dùng. Railway sẽ email cho tài khoản bị xác nhận.
  • Ảnh hưởng vận hành: tạm dừng deploy, khôi phục dần theo gói; đăng ký tài khoản mới tạm ngừng.
  • Việc cần làm: đổi toàn bộ biến môi trường, credential registry, kiểm tra log.

Railway nói gì?

Trong bài công bố, Railway viết: "Điều tra đến nay cho thấy một bên thứ ba trái phép có thể đã truy cập các biến môi trường đã mã hóa, và với một số biến đã lấy được nội dung giải mã". Railway cũng lưu ý biến môi trường có thể chứa khóa API hoặc thông tin đăng nhập cơ sở dữ liệu và registry.

Railway cho rằng vụ việc nằm trong một loạt cuộc tấn công gần đây nhắm vào các công ty nền tảng, với mục tiêu xâm nhập nhà cung cấp dịch vụ suy luận AI (AI inference). Railway đã chủ động báo các nhà cung cấp này thu hồi khóa. Nguyên nhân gốc và số tài khoản bị ảnh hưởng chưa được công bố.

Theo BleepingComputer, Railway có khoảng 4,8 triệu người dùng và chạy hơn 16 triệu dịch vụ.

Ảnh hưởng tới việc triển khai

Thời điểmDiễn biến
21/10/2026Phát hiện bất thường, công bố sự cố, tạm dừng toàn bộ deploy
08:44 UTC 22/10/2026Build được khôi phục cho workspace Pro và Enterprise, deploy vẫn chậm do hàng đợi dài
22/10/2026Gói Hobby, Free, Trial chưa build lại được, sẽ khôi phục theo thứ tự
23/10/2026Railway đăng hướng dẫn xử lý lỗi đăng nhập và deploy thất bại; trang hỗ trợ station.railway.com hoạt động lại, đăng ký tài khoản mới vẫn tạm dừng

Railway lưu ý các commit đẩy lên trong thời gian tạm dừng sẽ không được deploy. Các bước phục hồi gồm deploy lại commit mới nhất, kết nối lại GitHub, tạo lại credential cho CLI và CI.

Người dùng Railway cần làm gì?

  1. Đổi mọi biến môi trường chứa secret: khóa API (thanh toán, email, AI, lưu trữ), JWT secret, khóa mã hóa phiên.
  2. Đổi mật khẩu cơ sở dữ liệu rồi cập nhật lại chuỗi kết nối. Với database đặt ngoài Railway, cần đổi ở phía nhà cung cấp đó.
  3. Đổi credential registry riêng như Docker Hub, GHCR mà Railway dùng để kéo image.
  4. Kiểm tra log của các dịch vụ liên quan: đăng nhập lạ, gọi API bất thường, hóa đơn API AI tăng đột biến.
  5. Tạo lại token CLI và CI theo hướng dẫn phục hồi của Railway, rồi deploy lại commit mới nhất.

Một mẹo nhỏ: khi đổi khóa, hãy tạo khóa mới và cập nhật vào Railway trước, rồi mới thu hồi khóa cũ. Cách này giúp ứng dụng không bị gián đoạn. Ưu tiên các khóa có quyền rộng hoặc gắn với thanh toán.

Bài học khi lưu secret trên PaaS

Đây là vụ thứ hai trong tháng 10/2026 mà một nền tảng PaaS gặp sự cố liên quan tới secret, sau vụ Zeabur. Vài nguyên tắc nên áp dụng dù bạn dùng nền tảng nào:

  • Dùng khóa có phạm vi hẹp, mỗi môi trường (dev, staging, production) một bộ riêng.
  • Bật giới hạn IP hoặc giới hạn chi tiêu cho khóa API khi nhà cung cấp hỗ trợ.
  • Ghi lại danh sách secret đang dùng ở đâu, để khi có sự cố có thể đổi nhanh.
  • Với hệ thống quan trọng, cân nhắc tách cơ sở dữ liệu hoặc một phần dịch vụ sang VPS do bạn tự quản lý, để không phụ thuộc hoàn toàn vào một nền tảng.

Cập nhật mới nhất về sự cố được Railway đăng trên trang trạng thái và blog chính thức.

Nguồn tham khảo