PingCAP（TiDB 開發商）於二零二六年十月公開安全事件報告，並由共同創辦人兼執行長 Max Liu 於十月二十三日發表說明：二零二六年九月九日至十月七日期間，未授權方利用遭入侵的 GitHub 帳戶與外洩雲端憑證進入公司內部系統，取得源碼，並從內部分析、儲存與支援系統複製客戶相關紀錄。外部應變商 NebuSec 指，在其檢視的生產環境未見攻擊者指令執行或持續駐留，亦未見客戶 TiDB 資料庫內存資料被存取。本文已核對 PingCAP 官方事故報告、CEO 聲明與 NebuSec 調查摘要，來源真實性已驗證。

PingCAP／官方：雲端內部系統遭竊憑證入侵——源碼與客戶相關資料被複製；外部調查指客戶 TiDB 庫暫無被存取跡象

引言

分散式資料庫與雲端控制面一旦被「服務帳戶／倉庫憑證」打穿，受害面往往不是單一叢集表列，而是源碼、租戶目錄、支援工單與帳單設定等營運平面資料。PingCAP 於二零二六年十月發布《October 2026 Security Incident Report》，CEO Max Liu 於十月二十三日公開致歉並說明時間線：入侵窗口為九月九日至十月七日，公司同日（十月七日）得悉後開始撤銷受影響憑證。外部調查由 NebuSec 執行，結論強調「客戶 TiDB 資料庫內存資料未見被存取」與「生產環境未見持續駐留」，同時確認內部分析／儲存／支援系統確有客戶相關資料被複製。對香港與亞洲大量以 TiDB Cloud 或自管 TiDB 支撐交易、SaaS 與 AI 代理記憶層的企業而言，這是一則「控制面憑證衛生」與「支援工單是否該貼密鑰」並重的警示。來源真實性已驗證。

一、核心事件

時間窗口：PingCAP 官方與 NebuSec 一致指出，未授權活動發生於 二零二六年九月九日 至 十月七日。PingCAP 於 十月七日 知悉後，開始停用受影響帳戶與憑證；同日關鍵憑證已失效。
初始進入路徑（CEO 聲明與 NebuSec）：攻擊者透過 遭入侵的 GitHub 帳戶 進入，暴露私有倉庫；再運用倉庫與 Terraform state 中殘留的金鑰／權杖，橫向取得雲端服務帳戶能力。
取得內容：
- 內部源碼、設定檔與外露憑證（來自私有 GitHub）。
- 自內部 分析、儲存與支援系統 複製的客戶相關紀錄（NebuSec／官方分類）。
客戶資料類別（官方事故報告；強調「並非每位客戶皆暴露每一類」）：
- 帳戶與組織紀錄：用戶姓名與電郵、組織／專案關聯、SQL 編輯器文字與錯誤，以及組織／專案／叢集識別碼。
- 商務與帳單：客戶聯絡、合約條款、訂單、定價、付款條款與帳單設定。
- 加密的 TiDB Cloud API 金鑰值：匯出表內 API 金鑰為加密存儲，加密金鑰未外洩；外部調查測試指加密值無法直接當可用 API 金鑰使用。此結論不適用於支援材料中客戶曾明文分享的憑證（含 NebuSec 所述經 Jira 工單取得的 AWS 金鑰等）。
生產面調查結論（NebuSec，CEO 轉述）：
- 未見攻擊者在受檢生產環境執行指令或維持持續駐留（persistence）。
- 未見客戶 TiDB 資料庫內存資料 被存取；與「控制面／內部營運系統資料被複製」屬不同層面。
圍堵與修補：
- 十月七日起撤銷／停用多數受影響帳戶；至十月十日再刪除額外遭入侵憑證、收緊雲端專案間過度權限；並加強受影響專案的雲端儲存存取日誌。
- NebuSec 於十月十二至十三日報告四項漏洞；PingCAP 於十月十四日前全部修補，並經複測確認。
- 官方「截至十月十九日」狀態：持續對照匯出資料以釐清個別客戶影響範圍、檢查漏洞修補前是否曾被利用、擴大憑證輪換、程式碼／密鑰掃描與異常匯出告警。
客戶應立即採取的動作（CEO／官方）：
- 依公司指引 更換 TiDB Cloud 管理 API 金鑰；
- 輪換曾向 PingCAP 支援分享的憑證、連線字串或含密鑰日誌；
- 提防針對性釣魚；經既有可信渠道核實任何密碼／驗證碼／付款變更要求；
- 勿等待個別通知才行動；疑問可聯絡 [email protected]（勿在電郵夾帶密鑰）。
外部聲索：多家媒體轉述勒索／聲索團體對資料量與租戶規模的說法。官方與 NebuSec 報告並未採納該等數字為已驗證事實；本文不以聲索數字作定論，僅以官方與應變商可核對內容為準。

以上時間、路徑、資料類別與「TiDB 庫未見被存取／無生產駐留」均摘自 PingCAP 官方頁與 NebuSec 報告；本文不臆造未寫明的受害客戶名單、金錢損失或未驗證聲索容量。

二、技術原理

「倉庫憑證 → 雲端服務帳戶 → 倉儲匯出」鏈：NebuSec 描述攻擊者先控 GitHub，再收割 commit 歷史與 Terraform state 中的服務帳戶私鑰、明文 token，其後以 Google Cloud 服務帳戶能力在九月二十三至二十四日等時段自 BigQuery 等倉儲匯出表、並下載雲端儲存物件。這是典型的 身份與密鑰供應鏈 問題，而非資料庫引擎本身的遠端代碼執行。
控制面資料 ≠ 客戶庫表資料：SQL 編輯器內容、叢集識別碼、合約與帳單設定位於內部分析／支援平面；即使生產 TiDB 列級資料未見被讀，控制面外洩仍足以支撐精準釣魚、社會工程與後續針對客戶雲帳戶的嘗試。
加密 API 金鑰的邊界：匯出表內 TiDB Cloud API 金鑰「有加密且金鑰未丟」可降低「金鑰可直接重放」的風險，但 支援工單明文貼密鑰 會完全繞過該防護——NebuSec 明確把 AWS 金鑰等支援材料憑證列為需輪換對象。
源碼到手後的第二波風險：NebuSec 在取得源碼副本的前提下，對受影響服務做聚焦安全審查並報告漏洞；PingCAP 稱四項已於十月十四日前修補複測。源碼外洩把「未知缺陷被武器化」的時間窗口拉長，即使當下生產無駐留，仍須假設對手可持續離線分析。
日誌與匯出告警：官方在圍堵後為受影響專案開啟額外 Cloud Storage 存取日誌，並計劃強化「異常存取與大規模匯出」告警——對照本次以倉儲匯出為主的手法，屬對症的可視性補強。

四、日常應用

開發者

立刻盤點：CI／Git 歷史、Terraform／Pulumi state、聊天與工單是否殘留雲端金鑰；對 PingCAP／TiDB Cloud 管理 API 金鑰執行輪換；若曾在支援工單貼過 AWS／GCP／資料庫連線字串，視為已洩露並輪換。為私有倉啟用密鑰掃描與最短權限服務帳戶，禁止長期存活、無人擁有的 key。

企業

資安與平台團隊應：（一）把「控制面身份」納入與生產庫同等級的監控——服務帳戶建立、權限變更、BigQuery／物件儲存大規模匯出；（二）支援流程禁止客戶明文貼生產密鑰，改為限時、可撤銷的安全通道；（三）若使用 TiDB Cloud，依官方客戶行動頁更換管理 API 金鑰，並評估 SQL 編輯器／專案成員名單是否需對內稽核；（四）將第三方 SaaS 的源碼託管與 state 檔納入供應商風險問卷。金融、電商與 AI 代理記憶層等對連線字串極敏感的行業，應同步演練釣魚與付款變更詐騙劇本。

一般用戶

一般手機或瀏覽器用戶通常不直接操作 TiDB Cloud 控制台；若所屬公司發出「輪換資料庫／雲端金鑰」通知，屬正常事故應變，宜依公司資安指引完成，勿把新密鑰再貼回聊天軟件。

香港與亞洲

PingCAP／TiDB 在亞洲互聯網、金融科技與出海 SaaS 架構中頗常見。本次重點不在「某一條 SQL 被拖走」，而在 亞洲企業把源碼、IaC state 與支援工單當作第二生產環境 時，憑證治理是否跟得上。香港團隊若同時使用多雲與託管資料庫，應把「工單禁密鑰、state 加密、匯出告警」寫進變更管理，並與雲端遷移／分段策略一併演練。

若企業需要在香港做雲端遷移、身份與密鑰治理、暴露面收斂與持續監控，可參考 YSK Limited 雲端遷移與網絡安全服務：https://ysk.hk/services/cloud-security （產品與版本事實見 https://ysk.hk/llms.txt；YSK Kit v1.6.5、YSK Server v1.1.30）。

五、專業評價

值得關注之處

官方事故頁與 CEO 署名聲明同日可核對，並公開引述獨立應變商 NebuSec，透明度高於「僅公關一句話」的披露。
清楚區分「內部營運／控制面資料被複製」與「客戶 TiDB 庫內存未見被存取」，避免把兩種風險混為一談。
對加密 API 金鑰與支援明文憑證畫出邊界，並給出可執行的客戶輪換清單。
四項源碼審查漏洞於兩日內修補並複測，顯示「源碼外洩後的補丁競賽」有被認真對待。

需要留意的地方

入侵窗口長達約一個月（九月九日至十月七日），對「異常匯出與異地 IP 存取」的偵測滯後值得內部事後檢討。
「無生產駐留／無庫內存存取」是調查當下快照，不排除日後日誌補完後範圍調整；官方亦寫明仍在核對個別客戶影響。
勒索／聲索團體的容量與租戶數字未經官方採納，媒體轉述時易被放大——決策應以官方通知與自身日誌為準。
支援工單明文密鑰問題屬流程債，單靠技術加密控制面金鑰無法覆蓋。

結語

PingCAP 這次事件的核心教訓很具體：打穿的是 GitHub 與雲端服務帳戶組成的身份鏈，帶走的是源碼與控制面／支援平面上的客戶相關資料；獨立調查暫時未見客戶 TiDB 庫被直接讀取，但企業仍必須立刻輪換管理 API 金鑰與曾分享的密鑰，並假設源碼已落在對手手中。對香港與亞洲依賴託管資料庫與多雲控制面的團隊，眼下最務實的動作是：清 state、禁工單貼密鑰、為大規模匯出設告警，並把第三方控制面納入與生產同等級的身份治理。

如需協助盤點香港雲環境的身份、密鑰與暴露面，歡迎聯絡 YSK Limited：https://ysk.hk/services/cloud-security · WhatsApp +852 6160 4242 · [email protected]。

參考來源

PingCAP，Security Update – October 2026 Security Incident Report: Unauthorized Access to PingCAP Cloud Resources — https://www.pingcap.com/trust-hub/security/security-update-october-2026/
Max Liu（PingCAP CEO），A Note from Our CEO on Our Security Incident（Published: October 23, 2026）— https://www.pingcap.com/trust-hub/security/ceo-note-october-2026/
NebuSec，Investigating the PingCAP Security Incident: Credential Exposure and Cloud Data Collection — https://nebusec.ai/research/pingcap-security-incident/
Five Nines，PingCAP confirms theft of source code and customer data（2026-10-25）— https://www.thefivenines.com/security/pingcap-confirms-theft-of-source-code-and-customer-data
YSK Limited，llms.txt（產品版本）— https://ysk.hk/llms.txt
YSK Limited，雲端遷移與網絡安全 — https://ysk.hk/services/cloud-security