PingCAP 云资源被未授权访问一个月，API key 表被导出
来源：pingcap.com — 2026-10-19
📋 概述
PingCAP 发布事故报告：2026 年 9 月 9 日至 10 月 7 日，未授权方用窃取的服务账号凭据访问内部系统、复制数据并取得源码，公司 10 月 7 日察觉当天开始禁用凭据。外部响应公司复核生产系统后未发现攻击者执行命令或维持持久访问的证据，但数据暴露已经发生。被导出的记录包含用户名与邮箱、组织与项目关联、SQL 编辑器内容与报错，还包含客户联系人、合同条款、订单、定价与计费配置；一张被导出的表里有加密的 TiDB Cloud API key。至 10 月 14 日所有已知通道已封堵，外部公司报告的四个漏洞全部修复并复测通过。
🔑 核心要点
- 暴露窗口是 9 月 9 日到 10 月 7 日，10 月 7 日才发现并开始吊销凭据
- 泄露数据类型跨度很大：账号与产品使用、商务与计费信息、加密的 API key、组织与项目标识
- 调查结论区分得很清楚：未发现命令执行并不等于数据没泄露
- 外部公司在 10 月 12–13 日报告四个漏洞，PingCAP 14 日前全部修完并经过独立复测
- 剩下要确定的是逐个客户的影响范围，以及漏洞在被修复前是否已被利用
💡 金句
That finding does not change the data exposure described below.
👍 0
👎 0
← 返回 Lobsters 首页