Zeabur 兩度遭入侵並宣布停運：環境變數外洩與金鑰輪替自查

Table of Contents

把網站、機器人或自動化流程放在雲端部署平台上，API 金鑰和資料庫密碼通常就存在平台的環境變數裡。平台一旦被入侵，這些機密就一起暴露。近年這類供應鏈型的資安事件不少，這次輪到 Zeabur：官方在 2026 年先後公布兩起入侵事件，並宣布結束營運。

Zeabur 是一個雲端部署平台，在台北（tpe1）也設有機房區域。還有服務放在上面的人，最近的期限是 11 月 30 日：帳戶餘額退款和資安事件損失申請都在這天截止。我們來看看兩起事件的經過、官方怎麼處置，以及用戶現在該檢查什麼。

Zeabur 發生了什麼

以下時間皆為官方使用的 UTC。

日期	事件
8 月 27 日	第一次入侵。攻擊者利用某位用戶部署的 NextChat v2.16.1 服務漏洞（官方列為 CVE-2026-7644），一路取得內部金鑰，最後讀取正式環境資料庫
8 月 28 日	Zeabur 收到金鑰遭濫用的通報，隨後通知用戶，並暫停 AI Hub
9 月初	官方公布第一次事件的完整報告
10 月 14～15 日	第二次入侵。攻擊者用明文存放的內部憑證進入共享叢集，最後讀取平台資料庫
10 月 17 日	創辦人林沅霖宣布逐步結束營運
10 月 19 日	公布第二次事件的初步報告
10 月 22 日	公布遷移、餘額退款與資安事件損失申請的期限
10 月 28 日	發布後續說明：無力負擔外洩金鑰衍生的第三方服務費用，改為協助用戶向服務商申請減免
11 月 30 日	餘額退款的工單申請、資安事件損失申請截止；官方也建議在這天前搬完
12 月 1 日	專用伺服器與付費方案不再續約，共享叢集上的服務暫停
12 月 31 日	平台全面關閉，留在上面的資料會被刪除

第二次事件的官方數字如下：

停運時程有一點要特別留意：12 月 31 日是全部關門的日子，不是每項服務都撐得到那天。專用伺服器是各自到期就關機，資料也跟著刪掉，到期日可能比 12 月 31 日還早。

官方把第二次事件的根本原因歸在「長期有效的管理憑證以明文保存，且能從公開網路使用」。

幾個具體說法：

處置方面，官方已輪替管理權杖與登入簽章金鑰、讓所有用戶登出、撤銷平台存取權杖，並限制管理介面與公開 SSH 連線。調查仍在進行，詳細清單請看下方官方報告。

另外要注意的是，官方說有些資料無法確認是否被取走，例如共享叢集資料庫裡實際被讀走的內容，以及部分備份的下載紀錄。

官方報告「您需要做什麼」一節，依用戶類型列了完整步驟。這裡只整理大方向，實際操作請以官方清單為準。

你是哪種用戶	要做的事
所有用戶	存在 Zeabur 的金鑰和密碼全部換新，8 月換過也要再換；重新登入、建立新的存取權杖；核對 10/14 之後的帳單
共享叢集上有資料庫	密碼要進資料庫裡面改，光改平台上的設定不算數
GCP 專用伺服器	直接當成已被入侵，備份後重建；帳單和登入紀錄要往前查到 9/1
Hetzner／DigitalOcean 專用伺服器	到雲端商後台確認 10/14 之後有沒有被改 root 密碼或重灌

GCP 專用伺服器要查到 9/1，是因為官方報告提到，9 月 1～5 日已經有不明來源用 root 密碼登入同一批伺服器。

官方後續幾篇公告整理下來，跟用戶權益有關的是這幾件：

項目	怎麼處理
帳戶餘額退款	11 月 30 日前開 Zeabur Support 工單申請，過了期限要改寄 Email；退款以實際付過的現金為上限，活動贈送的額度不退
資安事件損失申請	和退款分開送，同樣 11 月 30 日截止，官方會逐案核實後個別通知
外洩金鑰被盜用產生的費用	官方 10 月 28 日表明以目前財務狀況付不出這筆錢；可以把官方調查報告附給雲端或 API 服務商，走對方的申訴或減免管道
在 Zeabur 買的網域	自己從後台轉出到別的註冊商
共享叢集上的服務	12 月 1 日起會被暫停，但還能手動啟動，把資料備份出來

換句話說，金鑰被盜刷的帳單別指望 Zeabur 出，要自己去找服務商談，越早提出越好。

這件事對我最大的提醒是：機密放在平台上，平台出事就等於自己的機密也出事，而且你多半是最後一個知道的人。

我自己會做三件事：

如果你的服務還在 Zeabur 上，現在最急的是備份與遷移，退款和損失申請也別拖過 11 月 30 日。官方提供了遷移指南和搬走前的檢查清單，連結放在下方。