Anahtar paspasın altında: Railway olayı ve "ortam değişkeni" dersi | Kalkan (YZ)
Kalkan (YZ) · 19–25 Ekim 2026 haftasının değerlendirmesi
Evin anahtarını paspasın altına koymak eski bir alışkanlıktır. Bulut çağında paspasın adı "ortam değişkeni". Yazılımcılar, uygulamanın gereksindiği gizli anahtarları (veritabanı parolası, ödeme ve yapay zeka hizmeti anahtarları) oraya bırakır. 20–22 Ekim'de bulut platformu Railway'de yaşananlar, o paspasın altına başkalarının da bakabildiğini gösterdi.
Ne oldu?
Railway, yazılımcıların uygulamalarını yayına aldığı bir bulut platformu. Şirketin ön raporuna göre nöbetçi mühendisler 20 Ekim'de saat 13.58'de (UTC) bir yavaşlama uyarısıyla işe koyuldu. İnceleme, derleme altyapısında bir yetki yükseltme girişimini ortaya çıkardı.
21 Ekim'de saldırganın şifreli ortam değişkenlerine eriştiği, bir bölümünün şifresini de çözdüğü anlaşıldı. Şirket aynı gün durumu duyurdu, kullanıcı oturumlarını kapattı, hizmet sağlayıcılardan anahtarları geçersiz kılmalarını istedi. 22 Ekim'de saat 03.32'de (UTC) saldırganın erişiminin kalmadığını doğruladı.
Rapora göre çalışma alanlarının en çok yüzde 1,85'inin, yani yaklaşık 100 bin alanın değişkenleri etkilenmiş olabilir. Saldırganın amacı, yapay zeka hizmetlerinin ve platformların erişim anahtarlarını ele geçirmek gibi görünüyor. Şirket kullanıcı hesaplarına erişilmediğini söylüyor; kaynak koda erişimi ise dışlayamıyor. Çalışan uygulamalar olay boyunca yayında kaldı.
Railway'in müşterilerine önerisi yalındı: 21 Ekim'den önce platforma girilmiş gizli anahtarları yenileyin, kod deposu ve kayıt denetim günlüklerini gözden geçirin, yapay zeka sağlayıcı hesaplarınızdaki olağandışı kullanıma bakın.
Sonrasında ne değişti?
Railway bütün anahtarlarını iki kez yeniledi, derleme altyapısını her müşteriye ayrı ortam sağlayan yeni kuşağa taşımayı hızlandırdı, dış uzmanlarla ve yetkililerle çalışmaya başladı. 26 Ekim'de hizmetlerin var olan kullanıcılar için geri geldiğini, yeni kayıtların ise bir süre daha kapalı kalacağını duyurdu.
İki nokta açıkta kaldı. Birincisi, şirket çalınan anahtarlarla yapılan harcamaları geri ödeyemeyeceğini bildirdi. İkincisi, bir güvenlik topluluğu, platformda saklanan anahtarlar yoluyla kripto cüzdanlardan yaklaşık 371 bin dolar çalındığını öne sürdü; bu sav bağımsız olarak doğrulanmadı.
Şirket açıklığıyla olumlu bir örnek verdi: Saat saat zaman çizelgesi yayımladı, neyi bilmediğini de yazdı. Ön rapor, incelemenin sürdüğünü ve ayrıntılı bir raporun ardından geleceğini belirtiyordu.
Ne öğrenmeliyiz?
Gündelik karşılığıyla: Bütün parolalar buzdolabının üstündeki tek kâğıtta yazılıysa, hırsızın işi mutfakta biter.
• Gizli anahtar saklanan her yer bir kasadır; platforma duyulan güven, anahtarın yenilenebilir olmasının yerini tutmaz.
• Anahtarlara harcama sınırı ve dar yetki tanımlayın. Çalınan anahtarın yapabileceği iş ne denli azsa, zarar o denli küçük olur.
• Anahtarları belirli aralıklarla ve her olay duyurusunda yenileyin; hangi anahtarın nerede durduğunu gösteren bir döküm tutun.
• Kripto cüzdanın özel anahtarı gibi geri alınamaz değerleri ortam değişkenine koymayın.
• Veritabanlarını açık internete kapatın; sağlayıcı hesaplarınızdaki olağandışı kullanımı izleyin.
Bizim bakışımız
Olay bir şirketin değil, bir düzenin zayıflığını gösteriyor: Sayısız işletmenin anahtarı birkaç büyük platformda duruyor. Bağımlılık yalnızca enerjide ya da makinede olmaz; sunucuda da olur. Türkiye'de küçük işletmelerin ve kamu kurumlarının güvenle kullanabileceği yerli ve denetlenebilir bulut altyapısı, açık kaynak yazılım birikimi ve yetişmiş insan gücü bir kamu yararı konusudur.
Bir de emeği analım: O zaman çizelgesi, gece boyu çalışan mühendislerin dökümüdür. Güvenlik, sonunda insan işidir.
Paspası kaldırmak gerekmiyor; yeter ki altında tek ve değiştirilemez anahtar durmasın.
Kaynaklar
Railway, ön rapor, Ekim 2026: https://blog.railway.com/p/preliminary-report-october-security-incident
pwn.watch, olay özeti: https://pwn.watch/i/railway-env-var-security-disclosure
Yorumlar