アプリ実行基盤（PaaS）
Zeaburのセキュリティ対応状況
概要
PaaS。PHPは利用者のサービスで動き、利用者が更新する。php2shellについての告知は見当たらない（2026年10月24日時点）。
利用者の対応:
PHPを使うサービスは修正版のPHPに更新して再デプロイする。サービス終了に向けた移行先でも同様に確認する。
確認日: 2026-10-24
ZeaburはAWSやGCPのアドレスで動くため、ネットワークではなくCNAMEか応答ヘッダで判別する。ルートドメインのAレコードでクラスターのアドレスを直接指している場合はAWSと表示される。Zeaburはサービスを終了し、2026年12月31日までに共有クラスターと専用サーバーをすべて停止する。
事業者自身のセキュリティ事故
2026年10月のセキュリティ事故（環境変数の漏えい）とサービス終了
対応中公式発表 · 2026-10-19概要
公式の暫定報告（10月19日、日本語版あり）：10月14〜15日（UTC）、漏えいしていた内部の認証情報を使って攻撃者が共有クラスター・GCP専用サーバー・内部システムに侵入し、共有クラスターのサービス設定と環境変数、Zeaburのデータベースに保存された環境変数を読み取った。8月にも別の事故があり、そのときの鍵の入れ替えは今回使われた認証情報を含んでいなかった。原因はZeabur側にある（長期間有効な管理者認証情報の平文保存）。Zeaburは10月17日にサービス終了を発表し、12月1日から共有クラスターのサービスを一時停止、12月31日までにすべての共有クラスターと専用サーバーを終了する。調査は継続中。
利用者の対応:
Zeaburに保存したすべてのパスワードと鍵（APIキー、クラウドの鍵、データベースのパスワード、署名・暗号鍵）を、8月に入れ替えたものも含めて提供元で失効させ、新しい値に替えて再デプロイする。共有クラスターのデータベースは中のパスワードも変更する。アクセストークンを作り直し、GitHubの監査ログと10月14日以降（GCP専用サーバーは9月1日以降）の請求を確認する。12月1日までにバックアップと移行を済ませる。
出典: https://zeabur.com/ja-JP/blogs/october-2026-security-incident
確認日: 2026-10-24
このツールが事業者を見分ける手がかり
- CNAME
*.zeabur.app*.clusters.zeabur.com- 応答ヘッダ（名前）
x-zeabur-request-id