دوّر جميع متغيرات البيئة في Railway ومنها مفاتيح API، حتى لو لم يصلك إشعار. فقد قالت Railway في 21 أكتوبر 2026 إنها رصدت نشاطًا غير معتاد في أنظمة تخزّن متغيرات البيئة الخاصة بالعملاء، وإن طرفًا غير مصرّح له ربما وصل إلى متغيرات بيئة مشفّرة وحصل على محتوى بعضها بعد فك التشفير.
هذا المقال تلخيص لمنشورها الأمني وصفحة حالتها، قُرئا في 22 أكتوبر 2026 وأُعيدت قراءة صفحة الحالة لهذه المراجعة، وسيتقادم كلما حدّثتهما Railway.
الخلاصة أولًا
- الأسرار: توصي Railway بشدة بتدوير جميع متغيرات البيئة ومنها مفاتيح API.
- السجلات الخاصة: دوّر أي بيانات اعتماد لسجلات الحاويات الخاصة.
- المراقبة: راجع سجلات تلك الخدمات بحثًا عن نشاط غير معتاد.
- الحالة: صُنّفت الحادثة «Resolved» في 23 أكتوبر، والبناء مُفعَّل لجميع الخطط، لكن التسجيل الجديد ما زال متوقفًا.
| الخطوة | ما تقوله Railway |
|---|---|
| الأسرار | دوّر جميع متغيرات البيئة ومنها أي مفاتيح API مخزنة في Railway |
| السجل | دوّر أي بيانات اعتماد لسجل حاويات خاص |
| المراقبة | راجع سجلات تلك الخدمات بحثًا عن نشاط غير معتاد |
| النشر | تابع صفحة الحالة؛ أُوقفت عمليات البناء أثناء التحقيق |
ماذا تقول Railway إنه حدث؟
يذكر المنشور أن النشاط رُصد صباح الأربعاء 21 أكتوبر 2026. وتقول Railway إن التحليل الأولي يشير إلى أن الأثر قد يقتصر على مجموعة فرعية من المستخدمين، وإنها ستراسل المتضررين مباشرة بالبريد حين تتأكد من الحسابات المعنية.
وتقول أيضًا إنها طلبت من مزوّدين أصليين إبطال المفاتيح استباقيًا. وتربط الحادثة بسلسلة هجمات حديثة على شركات منصات تستهدف اختراق مزوّدي استدلال الذكاء الاصطناعي.
ما حالة البناء الآن؟
تحديث، 23 أكتوبر 2026، الساعة 22:06 UTC: صنّفت Railway الحادثة بحالة «Resolved». البناء مُفعَّل لجميع الخطط الخمس: Enterprise (22 أكتوبر، 04:00 UTC) وPro (07:11 UTC) وHobby (21:59 UTC) وFree وTrial (حتى 23:22 UTC). وتقول Railway إن البناء والنشر وAPI ولوحة التحكم تعمل بشكل طبيعي، لكن التسجيل الجديد ما زال متوقفًا، فقد أُوقف مؤقتًا في 22 أكتوبر الساعة 19:42 UTC للتركيز على العملاء الحاليين.
وتذكر الشركة أنها أنهت إشعار العملاء الأعلى خطرًا، وأن مساحات العمل التي لم تتلقَّ إشعارًا ليست مؤكدة السلامة، لذا ما زال تدوير بيانات الاعتماد موصى به. وإذا فشل النشر، تقترح Railway إعادة ربط تكامل GitHub ثم إعادة نشر آخر commit.
والجدول المبكر في الصفحة أوقف البناء في كل المناطق يوم 21 أكتوبر، ولوحة التحكم وAPI وCLI كانت غير متاحة. فالأوقات النهائية أعلاه هي المعتمدة بدل تقديرات التحديثات الأولى. وراجع صفحة الحالة الحية فقد تكون تغيّرت.
ماذا غيّرت Railway من جهتها؟
تذكر صفحة الحالة إجراءات اتخذتها الشركة، وهي تؤثر في عملك:
- بدأت تدوير كل بيانات اعتماد الحاويات التخزينية في 21 أكتوبر الساعة 22:37 UTC، وتظهر الجديدة في لوحة التحكم تلقائيًا. وقد ترى في سجلات التدقيق إبطالات أجراها موظف في Railway.
- أبطلت جميع رموز API في 22 أكتوبر الساعة 04:39 UTC. فمن يستخدم API العام أو CLI عليه إنشاء رموز جديدة.
- نشرت أدلة لتدوير بيانات اعتماد PostgreSQL وMongoDB وRedis وMySQL، وللتحقق من استخدام غير متوقع لدى مزودين مختلفين.
- قد يحتاج بعض المستخدمين إلى فصل تكامل GitHub ثم ربطه من جديد، لأن إعادة نشر شيفرة سابقة للحادثة ستفشل.
- نشرت تقريرًا أوليًا عن الحادثة في 23 أكتوبر الساعة 19:18 UTC.
لماذا يهم تدوير الأسرار حتى لو لم يصلك إشعار؟
تقول Railway إن المجموعة المتأثرة لم تتأكد بعد، ولذلك توصي الجميع بتدوير المتغيرات. والتدوير يعني إصدار مفتاح جديد لدى الجهة التي أصدرت المفتاح ثم تحديث Railway بالقيمة الجديدة؛ وحذف المتغير من Railway وحده لا يبطل المفتاح القديم.
وبحسب تحديث 23 أكتوبر الساعة 20:43 UTC، من دوّر أسراره بعد احتواء الحادثة فلا حاجة لتكرار ذلك. أما من لم يفعل، فعليه تدوير بيانات الاعتماد الحساسة وإبطال القديمة وإعادة نشر الخدمات المعتمدة عليها.
وتقول Railway إن عدد الحسابات المتأثرة والنافذة الزمنية وهل فُكّ تشفير كل المتغيرات غير معروف بعد. ولا يؤكد تأثر حسابك إلا بريد Railway المباشر.
ماذا تفعل بعد ذلك؟
- أصدر مفاتيح جديدة لدى كل جهة أصدرت مفتاحًا مخزنًا في Railway، ثم حدّث القيم في Railway.
- دوّر بيانات اعتماد أي سجل حاويات خاص وأي قاعدة بيانات متصلة، مستعينًا بأدلة Railway.
- راجع سجلات خدماتك بحثًا عن نشاط غير معتاد.
- أنشئ رموز API جديدة إن كنت تستخدم API العام أو CLI.
- تابع صفحة الحالة. وإن فشل النشر فأعد ربط تكامل GitHub ثم أعد نشر آخر commit.
ونقترح من عندنا أن تدوّن ما دوّرته وتاريخه، لتعرف لاحقًا أي مفتاح بقي قديمًا.
أسئلة وأجوبة حول حادثة Railway
هل أدوّر مفاتيحي إن لم تراسلني Railway؟
نعم. توصي Railway بشدة بتدوير جميع متغيرات البيئة، لأن مساحات العمل التي لم تتلقَّ إشعارًا ليست مؤكدة السلامة.
هل يعمل البناء في خطة Hobby؟
نعم. صار البناء مفعّلًا لها في 22 أكتوبر الساعة 21:59 UTC، وهو الآن مفعّل لجميع الخطط الخمس بحسب تحديث 23 أكتوبر.
هل يكفي حذف المتغير من Railway؟
لا. حذفه من Railway وحده لا يبطل المفتاح القديم؛ يلزم إصدار مفتاح جديد لدى الجهة المصدرة.
هل أستطيع فتح حساب جديد على Railway الآن؟
لا حتى تحديث 23 أكتوبر الساعة 22:06 UTC، فالتسجيل الجديد ما زال متوقفًا. راجع صفحة الحالة.
لماذا فشل النشر عندي؟
قد تحتاج إلى فصل تكامل GitHub وربطه من جديد ثم إعادة نشر آخر commit، فإعادة نشر شيفرة سابقة للحادثة تفشل.
مصطلحات بلغة مبسطة
- متغيرات البيئة: قيم إعدادات وأسرار يقرؤها تطبيقك عند التشغيل.
- تدوير الأسرار: استبدال المفتاح أو كلمة السر بقيمة جديدة وإبطال القديمة.
- سجل الحاويات: مكان تُحفظ فيه صور الحاويات التي تشغّل تطبيقك.
- البناء: تحويل شيفرتك إلى نسخة جاهزة للتشغيل.
المصادر
- Railway: إفصاح أمني، الأربعاء 21 أكتوبر (قُرئ في 22 أكتوبر 2026)
- حالة Railway: الحادثة QH8L8B3E (قُرئت في 22 أكتوبر 2026)
قُرئت المعلومات في 22 أكتوبر 2026، وأُعيد فتح صفحة الحالة لهذه المراجعة.
