Чорна середа: злом Railway, уразливість у PHP та термінові оновлення для Node.js всього за один день.
21 жовтня виявився одним із найбільш напружених днів для вебінфраструктури цього року. Три окремі події завдали удару мільйонам сайтів і онлайн-сервісів, і в більшості випадків на кону стояли конфіденційні дані: ключі, токени та паролі.
Залізниця: витік конфіденційної інформації клієнтів.
Хмарна платформа Railway, що, за її власними даними, має понад 2 мільйони розробників, оголосила про інцидент, пов'язаний із злом системи зберігання змінних середовища. Як зазначила компанія, зловмисник міг отримати доступ до зашифрованих змінних, а деякі з них -- у відкритому вигляді. У цих змінних зазвичай зберігаються важливі дані, такі як API-ключі, паролі до баз даних і доступи до приватних реєстрів.
Проблеми почалися вранці 21 жовтня: перестали працювати дашборд, API, CLI та сайт підтримки, збірки й деплої зупинилися в усіх регіонах. Про витік Railway оголосила лише ввечері. Компанія анулювала всі API-токени та OAuth-сесії, перевипустила ключі до сховищ і токени GitHub-інтеграції. Усім клієнтам рекомендовано змінити всі секрети. Збірки повертаються поетапно: станом на ранок 22 жовтня вони знову доступні тарифам Enterprise і Pro.
Метод, яким здійснили проникнення в Railway, наразі залишається невідомим, але постмортем буде проведено після завершення розслідування. Згідно з попередніми даними, основною метою атаки стали ключі до AI-сервісів, таких як OpenAI, Anthropic, xAI та OpenRouter. Компанія вважає цей інцидент частиною серії атак на платформи для розробників. Нагадаємо, що тиждень тому подібний злам стався з AI-інструментом OpenCode.
Наслідки вже стали очевидними. Сервіс Postiz зупинив свою роботу внаслідок повідомлень від Anthropic і Stripe про компрометацію ключів. Дослідники вважають, що витік міг бути пов'язаний із крадіжкою приблизно $371 тисячі в криптовалюті, однак Railway цю інформацію не підтвердила.
PHP2Shell: серйозні уразливості в основі PHP
У той же день команда PHP випустила термінові оновлення, які усувають дві критичні уразливості в основі мови програмування: CVE-2026-109618 і CVE-2026-109619, обидві з оцінкою 9.2 за шкалою CVSS 4.0. Ці вразливості дозволяють без авторизації виконувати довільний код на сервері, причому одна з них також здатна витягувати дані з пам'яті, аналогічно до Heartbleed. Вразливими виявилися майже всі версії PHP, починаючи з 5.4. Дослідники підтвердили, що атаки відбуваються на таких популярних системах управління контентом, як WordPress, Drupal, Magento та інших.
Помилки знайшли фахівці Calif, Wiz і OpenAI ще влітку. Розкриття планувалося на 22 жовтня, але 20-го ідентифікатори потрапили в мережу, і реліз перенесли на день раніше. Атаки почалися ще до патча: Amazon зафіксував першу спробу 17 жовтня, Cloudflare -- вранці 21-го. Увечері Amazon повідомив про широку експлуатацію.
Виправлення вийшли у версіях 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Старі гілки патчів, найімовірніше, не отримають. За даними Shodan, у мережі працює понад 880 тис. серверів із PHP 8.1 і старішими версіями. Хостинг-провайдери, зокрема Hetzner, розіслали клієнтам із виділеними та хмарними серверами листи із закликом оновитися самостійно.
Node.js: десять вразливостей і відкликання довіри до сертифікатів
Node.js також випустив позапланові оновлення: закрито 10 вразливостей, чотири з них високого рівня. Найнебезпечніша, CVE-2026-111497, пов'язана з розпакуванням даних і може призвести до віддаленого виконання коду. Водночас Node.js перестав довіряти сертифікатам центру сертифікації eMudhra після компрометації його проміжного сертифіката. Виправлені версії -- 22.23.4, 24.22.1 і 26.12.1.
Частини одного зв'язку?
Не існує прямого зв'язку між подіями, і доцільно робити висновки лише після проведення постмортему Railway. Проте загальний тренд вже очевидний. Зловмисники активно намагаються здобути секретну інформацію, зокрема ключі до AI-сервісів, які можна швидко конвертувати в гроші. Вразливості виявляються значно швидше, в тому числі з використанням AI, а час між їх виявленням та атакою скорочується до кількох годин.
Що можна виконати в даний момент?
* оновити PHP і Node.js до виправлених версій та перезапустити сервіси;
* Клієнти Railway повинні оновити всі свої секрети: спочатку у постачальників, а потім безпосередньо на платформі.
* перевірити рахунки й логи AI-сервісів, Stripe, AWS, GCP і GitHub на підозрілу активність.
