Railway volvió a habilitar los despliegues para sus planes Pro y Enterprise el 22 de octubre de 2026, tras la suspensión por un posible acceso a secretos de clientes. La reapertura permite a esos equipos aplicar nuevas credenciales en sus aplicaciones, mientras la empresa amplía sus recomendaciones para revisar servicios externos.
En su actualización de las 16:14 UTC, la compañía informó que los despliegues de ambos planes funcionaban a velocidad normal, aunque algunas compilaciones todavía fallaban poco después de arrancar. Hobby, Free y Trial seguían pendientes de reactivación.
El incidente afecta a los sistemas que almacenan variables de entorno, valores de configuración que pueden incluir claves de API y credenciales de bases de datos. En su comunicado del 21 de octubre, Railway indicó que un tercero no autorizado pudo acceder a variables cifradas y obtener el contenido descifrado de algunas de ellas.
La revisión incluye credenciales de AWS y Google Cloud
Railway anunció que había invalidado todos sus tokens de API, utilizados para integrar herramientas con la plataforma. Las guías publicadas el 22 de octubre abordan además las credenciales que los clientes utilizan para conectar sus aplicaciones con otros proveedores.
Para AWS, la empresa recomienda desactivar las claves que pudieron quedar expuestas, reemplazarlas y revisar tanto la facturación como CloudTrail, el registro de actividad de la cuenta. La revisión busca operaciones, recursos o cargos que el cliente no reconozca.
En Google Cloud, la guía se centra en las claves de cuentas de servicio. Railway plantea desactivar las posiblemente expuestas, revisar los registros de auditoría y desplegar las aplicaciones con una nueva clave. También incluye la búsqueda de recursos o cambios de permisos desconocidos.
Ambas guías advierten que esas claves pueden seguir funcionando hasta su desactivación. La respuesta que describe Railway abarca, por tanto, la renovación de credenciales en el proveedor externo y su actualización en las aplicaciones alojadas.
La recomendación se mantiene para todos los usuarios
La evaluación inicial de Railway apunta a un posible impacto limitado a una parte de los clientes. Su recomendación preventiva, sin embargo, alcanza a todos: renovar las variables de entorno que contengan secretos, incluidas las claves de API y las credenciales de registros privados, y revisar la actividad de los servicios asociados.
El comunicado inicial no cuantifica las cuentas afectadas ni detalla cómo se produjo el acceso. La compañía indicó que contactará por correo a los clientes conforme confirme cuáles estuvieron expuestos.
Railway advirtió que algunos pasos de recuperación requieren volver a desplegar los servicios. Para los planes pendientes de reapertura, esa parte del cambio de claves seguía bloqueada en el parte citado.
Gerardo Pavez
