Hosting & VPS
Tên miền
Proxy
Zeabur, nền tảng triển khai ứng dụng kiểu PaaS đã hoạt động khoảng ba năm rưỡi, sẽ đóng cửa. Nhà sáng lập Yuanlin Lin công bố quyết định ngày 17/10/2026, ba ngày sau một vụ xâm nhập mà công ty nói có phạm vi rộng hơn sự cố cuối tháng 8. Toàn bộ máy chủ riêng và shared cluster sẽ ngừng hoạt động trước 31/12/2026.
Đây là trường hợp hiếm hoi một nhà cung cấp hạ tầng đóng cửa hẳn vì sự cố bảo mật. Với người làm web ở Việt Nam, câu chuyện đáng chú ý vì cách nhiều người đang lưu secret trên Vercel, Railway, Render hay chính VPS của mình.
Hai vụ xâm nhập trong hai tháng
Theo bài đăng chính thức của Zeabur, ngày 14/10/2026 (giờ UTC), một kẻ tấn công bên ngoài đã truy cập trái phép vào hệ thống nội bộ và một số dịch vụ của khách hàng. Công ty cho biết các đường tấn công đã biết đã được chặn, việc điều tra vẫn tiếp tục và sẽ có báo cáo đầy đủ hơn.
Bài đăng không đưa ra số liệu cụ thể. Các con số dưới đây đến từ báo cáo của Aviatrix Threat Research Center, đơn vị dẫn nguồn BleepingComputer và các công bố của Zeabur:
- Khoảng 3,2 triệu bản ghi biến môi trường bị lấy ra.
- Thông tin của 321.810 tài khoản bị truy cập.
- Có đăng nhập quyền root trên 101 máy chủ Google Cloud, thuộc 92 người dùng.
- Khóa SSH lạ được thêm vào 50 máy chủ.
- 16 bản sao ổ đĩa của khách hàng bị gắn vào máy ảo do kẻ tấn công kiểm soát.
Những con số này có thể thay đổi khi Zeabur công bố báo cáo cuối cùng.
Nguyên nhân: thông tin quản trị không được xoay vòng
Theo Aviatrix, kẻ tấn công dùng thông tin đăng nhập quản trị và khóa truy cập đám mây lưu dạng văn bản thuần, nhiều khả năng bị đánh cắp từ vụ tháng 8. Một số token quản trị được tạo từ tháng 1/2024 nhưng chưa bao giờ được xoay vòng. Trang quản trị mở công khai, không có xác thực hai lớp hay giới hạn truy cập.
Nói cách khác, sau vụ đầu tiên, Zeabur đã thay nhiều thông tin nhưng bỏ sót một nhóm token cũ. Chỉ một sơ suất như vậy đủ mở cửa cho vụ thứ hai.
Lịch ngừng dịch vụ
| Thời điểm | Thay đổi |
|---|---|
| Từ 17/10/2026 | Ngừng bán máy chủ riêng và tên miền mới, nhận yêu cầu hoàn số dư |
| 1/12/2026 | Tắt gia hạn máy chủ riêng; dịch vụ shared cluster bị tạm dừng, người dùng có thể khởi động lại thủ công để sao lưu |
| 1/12 đến 31/12/2026 | Mỗi máy chủ riêng tắt vào ngày hết hạn của nó |
| 31/12/2026 | Toàn bộ máy chủ riêng và shared cluster ngừng hoạt động |
Hạn chót xuất dữ liệu và ngày xóa dữ liệu chưa được công bố. Zeabur khuyên không nên chờ. Tên miền có thể chuyển ra ngoài qua Dashboard. Công ty đã đăng hướng dẫn di chuyển và nhận yêu cầu hoàn tiền, bồi thường qua bộ phận hỗ trợ.
Người dùng Zeabur ở Việt Nam cần làm gì
- Xoay vòng mọi secret: khóa API, mật khẩu cơ sở dữ liệu, token OAuth, khóa thanh toán từng đặt trong biến môi trường. Bài đăng của Zeabur không nhắc việc này, nhưng với quy mô dữ liệu bị đọc như báo cáo, đây là bước bắt buộc.
- Sao lưu dữ liệu, kiểm tra bản sao lưu có khôi phục được không.
- Kiểm tra ngày hết hạn của từng máy chủ riêng, vì máy sẽ tắt đúng ngày đó.
- Chuyển tên miền sang nhà đăng ký khác trước khi hệ thống ngừng.
- Chọn nơi mới: một VPS tự quản, một PaaS khác, hoặc hosting có hỗ trợ Node.js, Python tùy ứng dụng.
Bài học cho người dùng PaaS, VPS
Biến môi trường tiện, nhưng nó tập trung mọi chìa khóa vào một chỗ. Khi nền tảng bị xâm nhập, toàn bộ chìa khóa đi theo. Một vài nguyên tắc giảm thiệt hại:
- Dùng khóa API có phạm vi hẹp nhất có thể, chỉ đủ quyền cho ứng dụng.
- Đặt thời hạn cho token, xoay vòng định kỳ, không tạo token vĩnh viễn.
- Giới hạn IP được phép gọi API thanh toán, cơ sở dữ liệu nếu dịch vụ hỗ trợ.
- Bật xác thực hai lớp cho tài khoản nhà cung cấp hosting, VPS, tên miền.
- Ghi lại danh sách secret đang dùng để khi có sự cố có thể thay hết trong vài giờ.
Góc nhìn của Canh Deal
Giá rẻ và tiện lợi là lý do nhiều người chọn PaaS mới nổi. Nhưng Zeabur cho thấy chỉ hai sự cố trong vòng hai tháng là đủ khiến một nền tảng phải đóng cửa. Trước khi đặt ứng dụng thật lên bất kỳ dịch vụ nào, hãy chắc rằng bạn có thể chuyển đi trong một ngày: mã nguồn ở kho riêng, dữ liệu sao lưu ở nơi khác, tên miền nằm ở nhà đăng ký độc lập.
