云部署新创 Zeabur 再次确认发生安全事件，距离 8 月 27 日的入侵不到七周。根据官方状态页与用户通知内容，这次攻击从退场中的共享集群爆发，攻击者不仅进入共享集群，还读取了 Zeabur 自家用于运营的数据库。
Zeabur 表示，外流数据包括用户服务的环境变量、账号信息、API Token，以及寄信服务 zSend 的 API 密钥。部分架设在 Google Cloud 上的专用服务器也遭到未授权访问。
攻击发生时间与公告修正
根据社群取得的一封用户通知信，这次攻击发生在 10 月 14 日晚间 9 点至 10 月 15 日凌晨 1 点。Zeabur 在 10 月 16 日的公开说明中，数小时内先后更新了事件范围。
10 月 16 日凌晨 0 时 8 分，状态页第一次公告仅确认，旧共享集群上的用户自部署 PostgreSQL 与 MySQL 遭未授权访问，并称没有证据显示专用服务器受影响。
约 4 小时 40 分后，也就是凌晨 4 时 48 分，Zeabur 更正说法，称「事件比最初回报的范围更广」，并承认攻击者握有数据库读取权限。当天上午 7 时 33 分的更新则提到，由于大规模轮替内部凭证，部分功能曾一度中断，目前大部分已经恢复。
用户需要立即处理的事项
Zeabur 建议用户即使收到通知称服务未被访问，也应尽快完成以下操作：
- 重新登录。Zeabur 已轮替登录会话的签名密钥。
- 轮替所有存放在环境变量中的机密信息，包括 API 密钥和数据库密码，并重新生成 Zeabur 的 API Token。
- 使用 zSend 或 Zeabur Email 的用户，需要建立新的 API 密钥，旧密钥已全部撤销。
- 使用 Google Cloud 专用服务器的用户，需要修改 root 密码，并删除不认识的 SSH 密钥，尤其是名称标记为「zeabur-pentest」的那一把。
- 事件期间部署失败的服务，需要重新部署。
对于 Google Cloud 专用服务器，Zeabur 还表示，这类服务器当前对外 SSH 暂时只能通过网页版 SSH 连接，但正在运行的服务不受影响。关于名为「zeabur-pentest」的 SSH 密钥，官方要求用户删除，但尚未说明该密钥由谁放置。
为何问题再次指向共享集群
共享集群是 Zeabur 正在淘汰的旧架构。根据 2 月 23 日的退场公告，3 月 15 日起不能在共享集群上新建项目，4 月 1 日起不能在既有项目中新增服务，但已经运行的服务仍可继续运行。
Zeabur 当时在更新日志中写道：「即使你选择不搬迁，我们也会确保这些服务继续安全、稳定地运行。这是我们对既有用户的承诺，没有例外。」
8 月事件的入口同样来自共享集群。按照当时的事件报告，攻击者从用户部署在东京共享集群的 NextChat 服务切入，利用 CVE-2026-7644 漏洞，进一步取得 AWS root 密钥，并读取正式环境数据库中的环境变量。报告当时写道：「共享集群与 Legacy API Key 虽已进入退场阶段，我们仍应确保它们在停止运作前具备足够的隔离与访问限制。」
Zeabur 在 9 月 7 日推出一项重大安全升级，允许用户删除 Zeabur 保存的 SSH 密码与私钥，也允许将环境变量「迁移至服务器」，迁移后 Zeabur 的数据库中不再保留副本。不过更新日志同时说明，这些升级仅适用于专用服务器；共享集群用户被建议迁移至专用服务器，且迁移需要自行处理。
至于这次攻击是否沿用了与 8 月相同的路径，Zeabur 目前还没有说明。状态页仅称，已封锁已知攻击管道，根因仍在追查。通知信则写道，攻击者取得了共享集群的管理凭证。
目前可以确认的是，两次安全事件都与退场中的共享集群有关，也都延伸到了 Zeabur 自身数据库；而这一次还额外波及部分专用服务器。
仍未说明的三项问题
影响人数与外流范围
Zeabur 尚未公布有多少用户受到影响，仅表示会直接联系受影响客户。外流的环境变量是否只涉及尚未迁移的项目，目前也没有进一步说明。
赔偿安排
8 月事件的状态页曾写明，截至 8 月底，约 63% 的赔偿申请已经核实，赔偿范围涉及 OpenAI、Anthropic、Gemini、OpenRouter 等 AI API 密钥被盗用后产生的费用。这次是否会采取相同处理方式，Zeabur 暂未说明。
通知信与状态页信息不一致
用户通知信中写道：「目前确认的影响范围仅限于共享集群，尚未在专用服务器上发现相关异常。」这一表述与状态页第一次公告一致，但和 10 月 16 日凌晨 4 时 48 分更正后的版本并不相同。更正后的状态页已经承认，部分 Google Cloud 专用服务器也遭到访问。