Railway pidió a todos sus usuarios renovar las credenciales guardadas en la plataforma tras un incidente de seguridad divulgado el 21 de octubre de 2026. La compañía advirtió que un tercero pudo acceder a variables de entorno cifradas y obtener el contenido descifrado de algunas de ellas.
Las variables de entorno entregan configuración y secretos a las aplicaciones, incluidas claves API y credenciales de bases de datos. Según el comunicado firmado por Jacob Cooper, el análisis inicial apunta a un subconjunto de usuarios; la empresa aún no cuantifica los afectados.
La pausa impide aplicar las nuevas credenciales
Railway reconoció en su página de estado que los clientes, incluidos los de Enterprise, no podían actualizar las aplicaciones con claves nuevas durante la suspensión de despliegues. A las 22:37 UTC del 21 de octubre, las compilaciones seguían pausadas.
La documentación de Railway explica que añadir, modificar o eliminar una variable deja cambios pendientes que deben desplegarse para aplicarse. Esto permite distinguir dos tareas: renovar una credencial y actualizar la aplicación que la utiliza. La pausa bloqueaba esta última.
La compañía también anunció la renovación preventiva de todas las credenciales de sus buckets de almacenamiento. Los nuevos valores aparecerían automáticamente en el panel, pero incorporarlos a los servicios requeriría volver a desplegarlos cuando se reanudaran las compilaciones.
La recomendación incluye revisar la actividad de los servicios
Railway pide renovar las variables de entorno, incluidas las claves API, y las credenciales de registros privados de contenedores. También recomienda revisar los registros de actividad de esos servicios para detectar usos inusuales.
La empresa cree que el incidente está vinculado con ataques contra plataformas para comprometer proveedores de inferencia de IA, los servicios que ejecutan modelos. Es una evaluación preliminar de Railway, que afirma haber avisado a esos proveedores para revocar claves preventivamente.
Railway contactará por correo a los clientes a medida que confirme qué cuentas fueron afectadas.
