🚨 Alerta de segurança na Railway: revise as credenciais dos seus projetos
Pessoal, a Railway divulgou hoje (21/10) um incidente de segurança que merece atenção de quem hospeda aplicações e automações na plataforma.
Segundo a empresa, um terceiro não autorizado pode ter acessado variáveis de ambiente criptografadas e obtido o conteúdo descriptografado de parte delas. Essas variáveis podem guardar chaves de API, senhas de bancos de dados e credenciais de registros privados de imagens.
A análise inicial sugere impacto em parte dos usuários, e a investigação continua. A precaução recomendada vale para todos. Os detalhes estão no comunicado oficial da Railway.
O que a Railway recomenda:
Rotacionar imediatamente os segredos armazenados nas variáveis de ambiente, incluindo chaves de API e credenciais de bancos de dados e de registros privados.
Revisar os logs dos serviços em busca de atividade incomum.
Acompanhar as atualizações oficiais e os emails da empresa, que informou que entrará em contato com os clientes conforme confirmar quais contas foram afetadas.
Na prática, a rotação precisa incluir a revogação/substituição da credencial no serviço que a emitiu. Só editar o valor salvo na Railway não invalida uma chave antiga.
Há também uma limitação operacional importante: nas atualizações oficiais até 19h45 de 21/10 (horário de Brasília), os builds e deploys continuavam pausados, inclusive para clientes Enterprise. A Railway reconhece que isso impede o redeploy necessário para aplicar novas credenciais.
A empresa também está revogando e substituindo todas as credenciais dos seus buckets de armazenamento. Os novos valores devem aparecer automaticamente no painel, mas os serviços dependem da retomada dos builds para receber esses valores por redeploy. Acompanhe a página oficial do incidente para conferir a evolução.
Aqui também estou verificando: em um dos projetos, tenho uma instância do n8n rodando na Railway. Já coloquei o Codex para examinar o ambiente e procurar possíveis problemas.
A Railway está tendo problemas frequentemente, chegou a hora de migrarmos para outro servidor. Uma forte candidata é a DigitalOcean.
Daqui pra frente será cada vez mais comum esses ataques e invasões, duas dicas valiosas:
Usem um bom gerenciador de senhas, como o 1Password (uso há anos).
Usem autenticação de dois fatores.
Se você usa a Railway, vale priorizar essa revisão mesmo que sua aplicação continue funcionando. O alcance da exposição ainda está sendo apurado.
Referência deste aviso: informações oficiais de 21/10/2026, com atualizações até 19h45 (Brasília).