Zeabur、2か月足らずで2度の不正アクセスを受けサービス終了へ　32万アカウントと約322万件の環境変数を読み取り

クラウドアプリケーションのデプロイ基盤を提供するZeaburは2026年10月17日、同年12月31日までにサービスを段階的に終了すると発表しました。同社では8月下旬に続き、10月14～15日（協定世界時、UTC）に内部システムや顧客のサービスへの不正アクセスが発生。10月19日付の初期調査報告によると、攻撃者はZeaburに保存されていた環境変数3,218,965件と321,810アカウントに関する情報を含むプラットフォームデータベースを読み取りました。

Zeaburは不正アクセス経路を封じ込めたとする一方、過去に取得された認証情報やデータが悪用されるおそれがあるとして、利用者にキーの失効・再発行、サーバーの調査、データ移行を求めています。

Zeabur不正アクセスとサービス終了のサマリー

• 2026年10月14～15日、攻撃者がZeaburの共有クラスター、一部の専用サーバー、内部システムに不正アクセスしました。
• 会社側は10月19日、プラットフォームデータベース内の環境変数3,218,965件、アカウント321,810件に関するデータが読み取られたと公表しました。
• 認証情報の管理不備が背景にあり、平文で保存された管理トークンには有効期限がなく、管理画面はインターネットから接続可能でした。
• 共有クラスターでは9リージョンが影響範囲となり、865個のデータベースサービス内で読み取りコマンドが実行されました。ただし、各データベースで取得されたデータ量には調査上の制約があります。
• GCP上の専用サーバー101台でrootログインが確認され、そのうち50台に攻撃者のSSH公開鍵が追加されました。
• 8月27日にも別の侵害が発生していましたが、前回の対応では今回悪用された一部の管理認証情報がローテーションされていませんでした。
• 12月1日から専用サーバーの更新を停止し、共有クラスターの稼働中サービスを一時停止。12月31日までに専用サーバーと共有クラスターの提供を終了します。
• 利用者は認証情報の再発行とバックアップ・移行を進める必要があります。返金やインシデントに伴う損失の補償はZeabur Supportで受け付けています。

攻撃者が内部認証情報を悪用、共有クラスターから本番データベースへ

Zeaburの初期報告によると、攻撃者は大きく2つの経路を使いました。1つはAWSキーと共有クラスターの管理トークンを悪用して、9リージョンの共有クラスターにアクセスする経路です。攻撃に使われた認証情報は同社の非公開設定リポジトリに平文で保存されていました。管理トークンは2024年1月に作成され、有効期限がなく、2026年8月の事故後も更新されていませんでした。

攻撃者はクラスター内の環境変数やシークレットを読み取り、n8n、new-api／one-api、PostgreSQLなどのサービスにアクセスしました。865個のデータベースサービスで読み取りコマンドの実行が確認されていますが、ログには実行結果が残らないため、取得内容の全量まで確定したものではありません。

もう1つは、古いGCPキーと専用サーバーの初期化設定に保存されていたrootパスワードに関連する経路です。GCP上の101台、92ユーザーの専用サーバーで攻撃者によるrootログインが確認されました。そのうち50台では攻撃者管理のSSH公開鍵が追加され、16件の顧客サーバーのディスクコピーが攻撃者の仮想マシンにマウントされていました。

10月15日には両経路が内部ネットワークでつながり、攻撃者は同日16時10分から16時47分（UTC）に本番データベースを読み取りました。この操作でプラットフォーム内の環境変数やアカウント情報が対象になったとされています。

一方、攻撃者が最初にAWSキーや管理トークンを取得した方法は確定していません。Zeaburは8月の事件で流出したGitHub Appの秘密鍵との関連を仮説として挙げていますが、直接的な証拠はないと説明しています。

約322万件の環境変数、32万アカウントに関するデータへアクセス

公式の初期報告では、プラットフォームデータベースから読み取られた環境変数の名称と値は3,218,965件、アカウント関連データは321,810アカウント分とされています。後者にはメールアドレス、ユーザー名、電話番号のほか、プロジェクトやサービス関連データが含まれます。環境変数は、アプリケーションの実行設定に使われる情報で、APIキーやクラウドアクセスキー、データベース接続用パスワードなどが設定される場合があります。

さらにzSendのAPIキー566個も平文で読み取られました。プラットフォームのアクセストークン11,536件については、保存されていたのは復元不可能なハッシュ値で、Zeaburはすべて失効させています。これらの件数をそのまま「利用者321,810人の全認証情報が平文で流出した」と読み替えることはできません。

共有クラスターでは、PostgreSQLを使用するn8nの認証情報やワークフロー、AIサービスのキーなども調査対象に含まれています。東京のhnd1リージョンでは、少なくとも2つのPostgreSQLに外部への接続を行う不正プログラムが設置されていました。Zeaburは、台北・香港リージョンのデータベースバックアップも流出したものとして扱うよう利用者に案内しています。

なお、8月のインシデント後に環境変数を利用者自身の専用サーバーへ移行し、Zeabur側に保存されないよう変更したプロジェクトについては、今回のプラットフォームデータベースからの読み取り対象に含まれません。ただし、サーバーそのものが侵害された場合には別途調査が必要です。

8月の侵害後も認証情報が残存、監視の不足も明らかに

Zeaburは2026年8月27日にも不正アクセスを受けていました。このときは顧客が公開したサービスの脆弱性を起点に、共有クラスターから内部ネットワーク、本番環境へとアクセスが拡大し、APIキーを含む環境変数が読み取られました。

10月の初期報告では、前回の対応で内部管理キーの一部が更新されていなかったと認めています。平文の認証情報、過大な権限、管理インターフェースの外部公開に加え、内部サービスと顧客サービスが同じクラスターで稼働していたことが被害の拡大要因になりました。GCPサーバーの初期化設定にrootパスワードが残る問題も9月3日時点で把握していたものの、今回の攻撃前には解消できていませんでした。

攻撃者は正規の認証情報とアクセス経路を使用しており、10月14日から16時間以上の活動で警告が発生せず、Zeaburが調査を開始したのは10月15日のユーザー報告後でした。初期報告の時点で一部のクラウド監査ログは不完全で、詳細な影響範囲の調査が続いています。

2026年12月末で提供終了、12月1日から移行期限に注意

Zeabur創業者のYuanlin Lin氏は10月17日、約3年半にわたり運営してきたサービスの終了を発表しました。アーキテクチャの複雑化や保守負担に加え、立て続けに発生したインシデントを踏まえ、事業継続に必要な体制を検討した結果だと説明しています。

最終終了日が12月31日であっても、利用中のサーバーが同日まで稼働するとは限りません。データ削除日、最終エクスポート期限、サポート窓口の終了日は別途公表予定です。同社は移行ガイドを公開しています。

利用企業が確認する項目：キーの再発行とサーバー再構築

Zeaburは、8月の事故後に交換したものを含め、Zeaburに保存していたAPIキー、クラウドキー、データベースのパスワード、署名鍵・暗号鍵などの再交換を案内しています。元のキーは各サービスの管理画面で失効させ、新たなキーを発行したうえで再デプロイします。zSendのキー、Zeaburのアクセストークンも再作成が必要です。

共有クラスターの利用者は、環境変数の変更だけでなく、データベース内部のパスワードやセッション、トークンの更新を確認します。n8nでは暗号化キーと連携先の認証情報、AI関連サービスでは上流プロバイダーのAPIキーも対象です。

GCPの専用サーバーについては、Zeabur自身が侵害済みとして扱い、バックアップ後の再構築を推奨しています。SSH鍵を削除したりパスワードを変更したりするだけでは、不正な設定や別の持続的アクセス経路が残る場合があります。GitHub利用者は10月15日15時05分～18時54分（UTC）のZeabur GitHub Appによるリポジトリ操作やデプロイキー・Webhookの変更を点検します。Zeaburは同Appの秘密鍵が読み取られたことを確認していますが、不正利用された記録はないとしています。

利用企業では、認証情報のローテーションと並行して、外部クラウド・AIサービスの利用量、想定外の料金、アプリケーションログ、シークレット保管場所の確認を進める必要があります。ユーザーデータやサービスのバックアップを確保し、新環境で復旧できることをテストしたうえで移行してください。返金とインシデントによる損失の補償は別の申請として扱われます。

今回の事案は、認証情報の漏えいにとどまらず、利用者のサービス継続そのものに影響が及んだ事例です。複数のクラウド基盤を利用する企業は、デプロイサービスへの依存範囲、シークレットの管理主体、代替環境への移行手順を事前に整理しておく必要があります。

出典

• Zeabur サービス終了のお知らせと移行について（2026年10月17日） – Zeabur
• Zeabur 2026年10月のセキュリティインシデント（初期報告、2026年10月19日） – Zeabur
• Zeabur 2026年8月のセキュリティインシデント – Zeabur
• Unauthorized Access to Zeabur Infrastructure and User Data – Zeabur Status
• Zeabur からの移行ガイド – Zeabur