Zeabur cessera son activité après une fuite exposant 3,2 millions d'enregistrements de variables d'environnement

Le 20 octobre 2026, Zeabur — une plateforme d'hébergement pour développeurs qui compile, déploie et exécute des applications connectées depuis un dépôt GitHub, en prenant en charge les bases de données, le HTTPS et l'infrastructure pour le compte de l'utilisateur — a révélé qu'un attaquant avait utilisé des identifiants internes divulgués pour pénétrer dans le cluster partagé qui sous-tend son service, et a annoncé qu'elle cesserait son activité d'ici la fin de l'année. Il s'agissait de la deuxième intrusion subie par la plateforme en deux mois.

Zeabur a indiqué que l'attaquant avait utilisé des identifiants d'administrateur et des clés d'accès cloud dérobés pour atteindre l'infrastructure d'hébergement partagée, certains serveurs dédiés et la base de données de production, touchant des clusters partagés répartis sur neuf régions. L'intrusion a exposé plus de 3,2 millions d'enregistrements de variables d'environnement et les informations de 321 810 comptes. L'entreprise a confirmé des connexions root sur 101 serveurs Google Cloud par 92 utilisateurs distincts, a précisé que les attaquants avaient ajouté des clés SSH à 50 serveurs, et a constaté que 16 copies de disques de clients avaient été rattachées aux machines virtuelles des intrus.

Comment l'attaquant est entré

De l'aveu même de Zeabur, la compromission tenait à une mauvaise hygiène des identifiants. Les identifiants internes étaient stockés en clair et avaient vraisemblablement été obtenus lors d'une intrusion antérieure, en août 2026, lorsque des attaquants avaient exploité une faille dans l'application NextChat d'un client, s'étaient déplacés à travers des systèmes internes mal cloisonnés et avaient dérobé des identifiants AWS ainsi qu'un accès à la base de production. Les identifiants d'administrateur n'avaient pas été entièrement renouvelés après cet incident, les portails d'administration restaient accessibles depuis l'internet public, et l'entreprise a reconnu que « les jetons d'administrateur n'avaient aucune expiration et n'avaient pas été renouvelés depuis leur création en janvier 2024 ».

Fermeture et remédiation

Plutôt que de tout reconstruire, Zeabur a annoncé sa fermeture. L'entreprise a indiqué que les renouvellements seraient désactivés et les services actifs sur les clusters partagés suspendus le 1er décembre 2026, et que tous les serveurs dédiés et clusters partagés expireraient et seraient arrêtés d'ici le 31 décembre 2026, un délai supplémentaire restant possible pour la migration des données. L'entreprise a exhorté ses utilisateurs à renouveler tout identifiant exposé, à révoquer les sessions actives et à reconstruire les serveurs susceptibles d'avoir été compromis. Les variables que les clients avaient déplacées vers leurs propres serveurs après l'incident d'août n'ont pas été exposées lors de cette dernière fuite de la base de la plateforme, même si tout hôte atteint par les attaquants pouvait encore les divulguer.