Vercel确认数据泄露云开发平台Vercel在威胁行为者声称入侵其系统并试图出售被盗数据后披露了一起安全事件。Vercel是一个为开发者提供托管和部署基础设施的云平台尤其专注于JavaScript框架。该公司以开发广泛使用的React框架Next.js而闻名还提供无服务器函数、边缘计算和CI/CD管道等服务能让开发者构建、预览和部署应用程序。安全公告内容在4月19日发布的一份安全公告中Vercel表示一小部分客户受到了安全漏洞的影响。“我们发现了一起安全事件涉及对Vercel某些内部系统的未授权访问” [Vercel警告称](https://vercel.com/kb/bulletin/vercel-april-2026-security-incident)。“我们正在积极调查并已聘请事件响应专家协助调查和修复。我们已通知执法部门并将在调查进展时更新此页面。”应对措施该公司称其服务未受影响并且正在与受影响的客户合作。Vercel表示正在采取措施保护客户建议他们[审查环境变量](http://vercel.com/all-env-vars)使用其[敏感环境变量功能](https://vercel.com/docs/environment-variables/sensitive-environment-variables)并在必要时轮换密钥。数据泄露原因发布此报道后Vercel更新了其公告称此次数据泄露源于第三方AI工具的Google Workspace OAuth应用程序被攻破。Vercel建议Google Workspace管理员和Google账户所有者检查以下应用程序OAuth应用110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj.apps.googleusercontent.com事件细节Vercel首席执行官Guillermo Rauch后来在[X](https://x.com/rauchg/status/2045995362499076169)上分享了更多细节称最初的访问是在一名Vercel员工的Google Workspace账户因AI平台Context.ai被攻击而被盗用后发生的。据Rauch称攻击者随后从被盗用的账户提升权限进入Vercel环境在那里他们能够访问未标记为敏感、因此在静态时未加密的环境变量。虽然这些变量原本包含非敏感信息但攻击者在枚举这些变量后获得了进一步的访问权限。“Vercel在静态时对所有客户环境变量进行了完全加密。我们有许多深度防御机制来保护核心系统和客户数据” Rauch说。“然而我们确实有能力将环境变量指定为‘非敏感’。不幸的是攻击者通过枚举获得了进一步的访问权限。”后续情况该公司的调查证实Next.js、Turbopack和其他开源项目仍然安全。Vercel还对其仪表板进行了更新包括环境变量概述页面和改进的敏感环境变量管理界面。强烈建议客户审查环境变量中的敏感信息并启用敏感变量功能以确保它们在静态时被加密。如果您有关于此事件或其他未披露攻击的任何信息可以通过Signal646-961-373