Laut der Mitteilung des Unternehmens nutzten die Angreifer gestohlene Administrator-Zugangsdaten und Cloud-Zugriffsschlüssel, um das geteilte Hosting-Umfeld und einzelne Dedicated Server zu kompromittieren und schließlich die Produktionsdatenbank auszulesen. „Am 14. und 15. Oktober 2026 nutzte ein Angreifer abgeflossene interne Zugangsdaten von Zeabur, um in den Shared Cluster, einige Dedicated Server und interne Systeme von Zeabur einzudringen und schließlich die Plattformdatenbank zu lesen", heißt es in der Bekanntmachung.
Zeabur ist eine Hosting- und Deployment-Plattform, über die Entwickler ein GitHub-Repository anbinden können; die Plattform übernimmt Deployment, Datenbanken, HTTPS und die Verwaltung der Infrastruktur.
Betroffen waren Shared Cluster in neun Regionen, 321.810 Konten und rund 3,2 Millionen Datensätze mit Umgebungsvariablen. Zudem bestätigte Zeabur Root-Anmeldungen auf 101 GCP-Servern durch 92 Nutzer. Die Angreifer hinterlegten auf 50 Servern eigene SSH-Schlüssel und hängten 16 Kopien von Kundenlaufwerken an eigene virtuelle Maschinen an.
Bereits Ende August 2026 hatte es einen Einbruch gegeben: Angreifer nutzten damals eine Schwachstelle in der NextChat-Anwendung eines Kunden aus und bewegten sich anschließend durch unzureichend voneinander isolierte interne Systeme. Dabei erbeuteten sie AWS-Zugangsdaten und Zugriff auf die Produktionsdatenbank, wodurch Kontoinformationen, API-Schlüssel und weitere dort gespeicherte Geheimnisse offengelegt wurden. Zeabur hält es für wahrscheinlich, dass die beim zweiten Angriff verwendeten Zugangsdaten aus diesem August-Vorfall stammen, bestätigt hat das Unternehmen das jedoch nicht.
Neben der fehlenden Verschlüsselung der gespeicherten Zugangsdaten räumt Zeabur ein, nach dem August-Vorfall nicht alle Administratorkonten rotiert zu haben; Administrationsportale blieben zudem aus dem offenen Internet erreichbar. „Die Admin-Token hatten kein Ablaufdatum, waren seit ihrer Erstellung im Januar 2024 nicht rotiert worden und waren in der Rotation nach dem August-Vorfall nicht enthalten", erklärte Zeabur.
Nutzer werden aufgefordert, offengelegte Zugangsdaten und Geheimnisse umgehend zu wechseln, alle aktiven Sitzungen zu widerrufen und kompromittierte GCP-Server neu aufzusetzen. Variablen, die im Rahmen der Reaktion auf den August-Vorfall ausschließlich auf eigene Server der Kunden migriert worden waren, sind von der aktuellen Offenlegung der Plattformdatenbank nicht betroffen — über kompromittierte Hosts könnten sie dennoch offenliegen.
Nach der Entdeckung des jüngsten Vorfalls kündigte Zeabur am Wochenende an, den Betrieb ab dem 1. Dezember 2026 herunterzufahren und bis zum 31. Dezember 2026 abzuschließen. Die Entscheidung folgt auf 3,5 Jahre kontinuierliches Wachstum einschließlich eines Rekordjahres 2026; die Skalierung des Projekts auf die Marktnachfrage habe es jedoch zunehmend komplex und schwer wartbar gemacht, und die jüngsten Sicherheitsversäumnisse spiegelten genau das wider.
„Nach dem August-Vorfall haben wir lange diskutiert und mit uns gerungen, wie es weitergehen soll", erklärte Zeabur. „Nach diesem jüngsten Vorfall haben wir neu bewertet, was ein Weiterbetrieb erfordern würde und welche Verantwortung unser Team tragen kann. Letztlich haben wir uns für die Abwicklung entschieden."
Am 1. Dezember werden Verlängerungen deaktiviert und alle laufenden Dienste auf den Shared Clustern pausiert. Bis Jahresende laufen alle Dedicated Server aus und werden abgeschaltet, ebenso enden alle Shared Cluster. Für die Datenmigration könnten Nutzer zusätzliche Zeit erhalten, konkrete Fristen nannte das Unternehmen dafür bislang nicht.