✨︎ Resumen (TL;DR):
- Railway reactivó el 22 de octubre de 2026 los despliegues de Pro y Enterprise.
- La compañía invalidó todos sus tokens de API y recomendó renovar variables de entorno y credenciales externas.
- Railway publicó guías para revisar posibles accesos en AWS y Google Cloud; Hobby, Free y Trial seguían pendientes de reactivación.
Railway reactivó el 22 de octubre de 2026 los despliegues para sus planes Pro y Enterprise, después de suspenderlos por un posible acceso no autorizado a secretos de clientes. La reapertura permite a los equipos de esos planes aplicar nuevas credenciales en sus aplicaciones, mientras la compañía amplía sus recomendaciones para revisar servicios externos.
En la actualización de las 16:14 UTC, Railway informó que los despliegues de ambos planes funcionaban a velocidad normal. Algunas compilaciones todavía fallaban poco después de arrancar. Los planes Hobby, Free y Trial seguían pendientes de reactivación.
Qué ocurrió con las variables de entorno
El incidente afecta a los sistemas que almacenan variables de entorno. Una variable de entorno es un valor de configuración que puede incluir una clave de API o una credencial de base de datos.
En su comunicado del 21 de octubre, Railway indicó que un tercero no autorizado pudo acceder a variables cifradas y obtener el contenido descifrado de algunas de ellas.
Railway también anunció que había invalidado todos sus tokens de API, utilizados para integrar herramientas con la plataforma. Las guías que publicó el 22 de octubre abordan además las credenciales que los clientes usan para conectar sus aplicaciones con otros proveedores.
Las guías cubren AWS y Google Cloud
Para AWS, Railway recomienda desactivar las claves que pudieron quedar expuestas, reemplazarlas y revisar tanto la facturación como CloudTrail, el registro de actividad de la cuenta. Esa revisión busca operaciones, recursos o cargos que el cliente no reconozca.
En Google Cloud, Railway centra la guía en las claves de cuentas de servicio. La compañía plantea desactivar las que pudieron quedar expuestas, revisar los registros de auditoría y desplegar las aplicaciones con una nueva clave. También incluye la búsqueda de recursos o cambios de permisos desconocidos.
Ambas guías advierten que las claves pueden seguir funcionando hasta que el cliente las desactive. La respuesta descrita por Railway abarca la renovación de la credencial en el proveedor externo y su actualización en las aplicaciones alojadas.
La recomendación alcanza a todos los usuarios
La evaluación inicial de Railway apunta a un posible impacto limitado a una parte de los clientes. La recomendación preventiva, sin embargo, alcanza a todos: renovar las variables de entorno que contengan secretos, incluidas las claves de API y las credenciales de registros privados, y revisar la actividad de los servicios asociados.
El comunicado inicial no cuantifica las cuentas afectadas ni detalla cómo se produjo el acceso. Railway indicó que contactará por correo a los clientes conforme confirme cuáles estuvieron expuestos.
Algunos pasos de recuperación requieren volver a desplegar los servicios. Para los planes Hobby, Free y Trial, Railway todavía no había habilitado esa parte del cambio de claves en el parte citado.
