Утечка секретов Railway и критические уязвимости PHP

Две утечки за день, и стоит ли вам что-то сейчас делать 🤨 tldr - да, если у вас нет лимитов на апи ключах антропика/опенаи, вы пользуетесь Railway, или у вас на сервере что-то на php Мое утро началось с того, что сервис, через который у меня идет постинг в 20+ акаунтов, не работает. Фаундер этого сервиса мой друг, я открыла твиттер написать ему в личку, но сразу увидела его пост на котором уже тогда было 100 тыс просмотров - их хостинг взломали, и фаундер выключил сервис для всех до выяснения причин. Сейчас спустя 10 часов все снова работает Хостинг это Railway и на нем хостится прилично инди-продуктов. 21 октября они сообщили, что некоторый посторонний (не исключено что не человек даже) добрался до хранилища environment variables клиентов и для части пользователей получил расшифрованные значения: API-ключи, пароли от баз и тд. Railway поставил деплои на паузу и попросил всех ротировать вообще все Кого это касается? Если у вас что-то задеплоено на Railway, советую ротировать все ключи сейчас. Если вы пользуетесь сервисами, которые там хостятся, переподключить аккаунты, когда попросят. И отдельно про ключи антропика и опенаи: судя по тому, что это уже третий такой хостинг за год после Vercel и Zeabur, предположительно взламывают именно ради них, это сейчас самый так сказать ликвидный секрет в вашем env. Чего уж говорить, мне регулярно приходят спам письма про "дешевые" токены. В любом случае поставьте лимиты на спенд и алерты, даже если вы не на Railway если не готовы делиться бесплатно со скамерами 🥲 Но это еще не все... Вторая утечка не связана с первой, PHP выпустил экстренный патч под две критические уязвимости в ядре, причем его детали слили до конца эмбарго, и атаки начались раньше патча. Если у вас есть php код то обновляйтесь сейчас. Если нет, вас это не касается. Обычным пользователям не надо делать ничего, обе истории серверные, браузер тут ни при чем 🫥 @neural_prosecco