Northflank 披露控制平面密钥暴露，要求轮换凭据
Northflank 称控制平面密钥首次已知解密发生于 10 月 30 日 02:39–03:08 UTC，未发现工作负载数据被访问的迹象。部分客户报告 AI 密钥滥用；所有集成及项目密钥仍需轮换，并启用服务商 IP 限制及预算上限。厂商称前置部署及专用控制平面未受影响，独立取证仍在进行。
- 披露时间
- 2026年10月30日
- 更新于 2026年11月6日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Northflank 控制平面密钥；厂商称前置部署及专用控制平面未受影响
- Northflank · 云 · 凭据
- 在野利用
- 已发现
- Northflank 称多名用户确认 AI 密钥被使用；总体范围仍不明确。
发生了什么
轮换预防措施不等于已经证明每个密钥均被窃取。Northflank 称证据集中在控制平面密钥，未发现工作负载或其数据被访问的迹象，并称前置部署及专用控制平面未受影响。不确定部署类型时，应向支持团队确认。厂商认为攻击路径在首个警报后一小时内已受控，不代表已被窃取的密钥无法继续遭滥用。独立取证仍在进行，待确认调查结果后才会发布根因报告；入口、攻击者身份、完整暴露时间范围及受害者总数仍未公布。
Northflank 于 11 月 6 日称，首次已知密钥解密发生在 10 月 30 日 02:39 至 03:08 UTC，早于 11:43 UTC 的警报数小时；接报后 60 分钟内完成修补、两小时内通知客户。这是厂商对响应的说明，不代表已确认完整暴露窗口或已吊销每个凭据。厂商称工作负载始终在线；同时进行的大量客户重新部署及厂商自身密钥轮换、加固伴随间歇性平台退化。
公告单独提及 CVE-2026-98432 集群补丁，未将其认定为本次攻击原因或凭据恢复修复。Northflank 称已在可行范围内协同服务商吊销凭据；这不能替代自行轮换所有集成及项目密钥。只轮换数据库凭据，仍会遗漏其他已保存密钥。
案发时间线
10月30日 02:39–03:08 UTC
后续调查确定首次已知密钥解密的时间
Northflank 于 11 月 6 日披露这一时间区间；这并非完整暴露窗口的已确认起止时间。
10月30日 11:43 UTC
Wiz 警报触发调查
10月30日 13:40 UTC
Northflank 公开要求立即轮换
10月30日 15:12 UTC
为所有用户启用 Postgres 和 MongoDB 密钥轮换
10月30日 19:28 UTC
维持全面轮换建议，调查仍在进行
10月30日 23:38 UTC
重申在签发方吊销凭据并报告滥用
10月31日 01:04 UTC
为包括免费用户在内的所有客户启用审计日志
10月31日 13:34 UTC
为所有客户启用 MySQL 和 Redis 密钥轮换
10月31日 22:32 UTC
为所有客户启用 Minio 附加服务密钥轮换
10月31日 23:31 UTC
为所有客户启用 RabbitMQ 轮换
11月2日 11:09 UTC
披露控制平面影响范围，独立取证仍在进行
Northflank 认为攻击路径在首个警报后一小时内已受控，未发现攻击者随后仍在环境中或访问工作负载数据的迹象。厂商称前置部署及专用控制平面未受影响，重申轮换所有集成及项目密钥，并称部分客户已报告 AI 密钥遭滥用。
11月6日 10:09 UTC
补充解密时间、响应时序及服务商控制措施
Northflank 称接报后 60 分钟内修补漏洞、两小时内通知客户，工作负载始终在线；同时进行的大量客户重新部署及厂商自身密钥轮换、加固导致间歇性退化。厂商已在可行范围内协同服务商吊销凭据。调查及独立取证继续，用户仍需轮换密钥、检查服务商日志，并启用可用的 IP 限制和预算上限。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。