Trigger.dev 确认部分组织的环境变量遭未授权访问
Trigger.dev 报告 0.66% 的客户受 root API key 暴露影响，涉及环境变量及部分运行、部署和计划元数据。受影响 API 密钥已吊销，仍需重新生成并轮换下游凭据。厂商称自托管部署和 webhook 签名密钥未受影响，具体攻击方式仍未披露。
- 披露时间
- 2026年11月1日
- 更新于 2026年11月6日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 收到通知的 Trigger.dev 云环境；root API key 可访问设置及密钥。厂商称自托管未受影响。
- Trigger.dev · 云 · 凭据
- 在野利用
- 已发现
- Trigger.dev 确认攻击者访问了环境变量。
发生了什么
11 月 6 日报告补充了初始通告未提供的范围：Trigger.dev 称全部客户中 0.66% 受影响，部分环境的 root API key 被取得。这些密钥可完整访问环境设置，包括环境变量。该百分比不是人数、组织数或被盗密钥数量。厂商称已通过 API 日志审查确定范围，未收到影响通知的客户未受影响；投递或账户状态不确定时，应向支持团队核实。
部分环境的近期运行、部署及计划遭列举，涉及运行 ID、部署 ID、计划 ID、任务名、运行幂等键、运行状态、运行标签、部署元数据、部署错误、计划 external ID 及运行元数据。Trigger.dev 未发现其他客户资料、服务、生产数据库或客户仪表盘账户遭访问的证据。这是厂商调查结果，不是对已复制凭据从未遭滥用的独立证明。
Trigger.dev 称已阻断攻击者、缓解攻击路径、轮换内部密钥、审查系统和 API 日志、实施基于风险的账户限制、吊销受影响客户 API 密钥、聘请事件响应专家并通知执法部门，同时发布 scoped key 的 IP 白名单及 OIDC 支持。为保护调查，具体攻击方式仍未披露，没有公开的安全软件版本或完整暴露窗口。自托管和 webhook 签名密钥明确不在本次攻击影响范围内。11 月 1 日的“已解决”状态不能吊销第三方凭据，受影响客户仍需在签发方轮换并部署替代密钥。
案发时间线
2026年11月1日
Trigger.dev 披露环境变量暴露
11月1日 22:50 UTC
状态条目标记已解决，称已阻断利用并联系所有者
公告承诺提供更多细节，尚未公开根因、暴露时间范围或受影响组织数量。
11月2日 20:27 UTC
向受影响客户发送第二次邮件
后续报告将首次邮件时间列为约 11 月 1 日 21:36 UTC，仪表盘横幅也会标识受影响环境。
2026年11月6日
完整报告确认 root API key 暴露及 0.66% 客户受影响
部分环境的近期运行、部署及计划也遭列举。厂商称已吊销暴露 API 密钥，聘请事件响应专家并通知执法部门；排除自托管及 webhook 签名密钥，具体攻击方式仍保留。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。