Zeabur 二度遭駭！環境變數與 API Token 外流，用戶自救止血五步驟

Zeabur 證實不到七週內再度遭駭：攻擊從退場中的共享叢集爆發，部分 Google Cloud 專用伺服器也遭存取，環境變數、帳號資訊、API Token 與 zSend 金鑰外流。
（前情提要：台灣新創 Zeabur 環境變數外洩：AI 金鑰遭盜用，創辦人承諾後續賠償）
（背景補充：Zeabur災情延燒》暗網傳開賣 612GB 完整資料庫，官方：沒證據佐證）

本文目錄

雲端部署新創 Zeabur 再度遭駭，這次攻擊者不僅進了共享叢集，還讀取了 Zeabur 自家用來營運的資料庫。Zeabur 在官方狀態頁指出，外流的資料包含用戶服務的環境變數（服務的設定值，常放 API 金鑰與資料庫密碼）、帳號資訊、API Token，以及寄信服務 zSend 的 API 金鑰。

部分架在 Google Cloud 上的專用伺服器（用戶自己租的整部主機，由 Zeabur 代管部署）也遭未授權存取。

你或許還記得，這家台灣新創八月才出過事。根據社群取得的一封用戶通知信寫道，這次攻擊發生在 10 月 14 日晚間 9 點至 15 日凌晨 1 點，距離 8 月 27 日的入侵不到七週。

Zeabur 的說法在幾小時內也改過一次。10 月 16 日凌晨 0 時 8 分，狀態頁的第一次公告僅確認舊共享叢集上、用戶自行部署的 PostgreSQL 與 MySQL 遭未授權存取，並表示沒有證據顯示專用伺服器受影響。

約 4 小時 40 分後，也就是凌晨 4 時 48 分，Zeabur 更正先前的說明：「事件比最初回報的範圍更廣」，攻擊者握有資料庫的讀取權。上午 7 時 33 分的更新則說，大量輪替內部憑證讓部分功能一度中斷，大部分已恢復。

用戶現在要做什麼

就算通知信說你的服務沒被存取，最好也依說明完成以下處理。

第一，重新登入，因為 Zeabur 已輪替登入工作階段的簽章金鑰。

第二，輪替所有存放在環境變數裡的機密，包括 API 金鑰與資料庫密碼，並重新產生 Zeabur 的 API Token。

第三，使用 zSend 或 Zeabur Email（Zeabur 的寄信服務）的用戶，舊金鑰已全數撤銷，要建立新的 API 金鑰。

第四，使用 Google Cloud 專用伺服器的用戶，要更改 root 密碼，並刪除不認得的 SSH 金鑰，特別是名稱標成「zeabur-pentest」的那一把。

第五，事件期間部署失敗的服務，要重新部署。

為什麼又是共享叢集

共享叢集是 Zeabur 正在淘汰的舊架構。2 月 23 日的退場公告寫明，3 月 15 日起不能在共享叢集開新專案，4 月 1 日起不能在既有專案加服務，但已經在上面跑的服務可以繼續跑。更新日誌寫道：「即使你選擇不搬遷，我們也會確保這些服務繼續安全、穩定地運行。這是我們對既有使用者的承諾，沒有例外。」

八月的入口也在這裡。八月事件報告寫道，攻擊者從用戶部署在東京共享叢集的 NextChat 服務切入，利用 CVE-2026-7644 漏洞，一路拿到 AWS root 金鑰，讀到正式環境資料庫的環境變數。報告寫道：「共享叢集與 Legacy API Key 雖已進入退場階段，我們仍應確保它們在停止運作前具備足夠的隔離與存取限制。」並承諾持續維護退場中服務的隔離與監控。

9 月 7 日的重大安全升級，讓用戶可以刪除 Zeabur 保存的 SSH 密碼與私鑰，也能把環境變數「遷移至伺服器」，遷移後 Zeabur 的資料庫不留副本。但更新日誌寫明，這些升級僅適用於專用伺服器，共享叢集用戶被建議換到專用伺服器，遷移也得自己動手。

這次是不是同一條路徑，Zeabur 還沒說。狀態頁僅表示已封鎖已知的攻擊管道，根因仍在追查；通知信則寫道，攻擊者取得了共享叢集的管理憑證。能確定的是，兩次出事都和退場中的共享叢集有關，也都一路延伸到 Zeabur 自己的資料庫，這次還多了專用伺服器。