Vercel divulga incidente de segurança em abril de 2026 (acesso não autorizado a sistemas internos)
(vercel.com)A Vercel divulgou oficialmente um incidente de segurança ocorrido em abril de 2026, no qual houve acesso não autorizado (unauthorized access) a alguns sistemas internos.
Atualmente, o caso está sob investigação, com resposta conduzida em conjunto com especialistas externos em segurança, e as autoridades policiais já foram notificadas.
Escopo do impacto
- O impacto ficou limitado a “alguns clientes restritos”, e não a todos os clientes
- A empresa está tratando o caso diretamente com esses clientes de forma individual
- Os serviços da própria plataforma seguem operando normalmente
👉 Ou seja, em vez de uma “falha massiva de serviço”,
trata-se de um incidente do tipo invasão de sistemas internos + impacto limitado a clientes específicos
⸻
Situação atual da resposta
Resumo da resposta da Vercel:
- Investigação iniciada imediatamente após a detecção do incidente
- Acionamento de especialistas externos em incident response
- Notificação às autoridades policiais
- Atualizações contínuas previstas
⸻
Ações recomendadas aos usuários
A Vercel recomenda a todos os usuários o seguinte:
- Revisar variáveis de ambiente (environment variables)
- Usar recursos de proteção para informações sensíveis (
sensitive env vars)
👉 Especialmente no contexto da Vercel,
como variáveis de ambiente frequentemente armazenam chaves de API, tokens etc.,
o gerenciamento de segredos se torna um ponto central de risco
⸻
Contexto: panorama recente de segurança da Vercel
Mais do que um evento isolado, este incidente se insere em uma sequência recente de questões de segurança no ecossistema da Vercel:
- Descoberta contínua de vulnerabilidades baseadas em React / Next.js (DoS, bypass de autenticação etc.)
- Tentativas de ataque em larga escala, como React2Shell (na casa dos milhões de ocorrências)
- Aumento de casos de phishing/distribuição de malware usando domínios da Vercel
👉 Em resumo,
“framework + plataforma + ecossistema de desenvolvedores inteiros formam a superfície de ataque”
⸻
Resumo dos pontos principais
- Houve acesso não autorizado a sistemas internos
- O impacto se restringe a parte de um grupo limitado de clientes
- Os serviços seguem operando normalmente
- A investigação está em andamento + especialistas externos foram acionados
- Do lado dos usuários, é essencial revisar a segurança das variáveis de ambiente
⸻
Resumo em uma linha
👉 “Os sistemas internos da Vercel foram comprometidos, mas o impacto é limitado e a investigação e resposta estão em andamento — ainda assim, a segurança das variáveis de ambiente surge como risco central”
4 comentários
Parece que o nextjs está virando um framework muito exclusivo da própria vercel, então troquei assim que saiu o rrv7, mas ainda espero que dê tudo certo.
No fim, entre os principais web frameworks, não é a vercel que oferece o pior suporte? Nem que seja para rr7.
E isso pode até ser uma preferência pessoal minha, mas como não gosto de ficar preso a uma única plataforma, quero fazer de um jeito que, se possível, eu consiga implantar em gcp aws vercel cf.
id
name
displayName
email
active
admin
guest
timezone
createdAt
updatedAt
lastSeen
Dizem que dados e também chaves de API, como tokens do npm ou tokens do GitHub, foram vazados. Parece que até surgiu um vendedor desses dados.