शेयर के रिकॉर्ड $353 छूने के अगले ही दिन क्लाउडफ्लेयर ने सैंडबॉक्स में ग्राहकों के बीच डेटा लीक का खुलासा किया
स्टोरेज की बस एक सेटिंग ने एक पेड ग्राहक को दूसरे ग्राहकों की पीछे छूटी क्रेडेंशियल फाइलों और डेटाबेस को दोबारा इस्तेमाल हो चुके डिस्क ब्लॉकों से पढ़ने दे दिया। क्लाउडफ्लेयर का दावा है कि इस कमज़ोरी का दुरुपयोग होने का कोई सबूत नहीं मिला और ग्राहकों को कुछ करने की ज़रूरत नहीं; उसी हफ़्ते कंपनी का मार्केट कैप 125 अरब डॉलर पर पहुँच गया।
Vincent Jiang · 3 min read
साठ किलोबाइट, जिन्हें किसी ने नहीं मिटाया
क्लाउडफ्लेयर के शेयर $353.04 के अब तक के उच्चतम स्तर को छूने के एक दिन बाद कंपनी ने अपनी AI पिच के केंद्र में मौजूद सैंडबॉक्स प्रोडक्ट्स को लेकर खुलासा जारी किया 12। एकॉम्प्लिश के ओरेन योमतोव ने यह मामला 4 सितंबर को HackerOne के ज़रिए रिपोर्ट किया था: Workers Paid अकाउंट लेकर वे उसी होस्ट पर वे डिस्क ब्लॉक वापस निकाल सकते थे, जिन्हें दूसरे ग्राहकों के कंटेनर इस्तेमाल कर छोड़ चुके थे 1।
वजह एक ही सेटिंग थी। कंटेनर की रूट डिस्क 64 KiB ब्लॉकों में लिनक्स की थिन प्रोविजनिंग (thin provisioning) पर चलती है और शेयर्ड पूल skip_block_zeroing के साथ चलता था — नतीजा, दोबारा इस्तेमाल में आया ब्लॉक अगले ग्राहक तक बिना साफ़ किए पहुँच जाता था 1। ऐसे ब्लॉक में 4 KiB लिखकर उसे रॉ रूप में पढ़ लें, तो बाकी 60 KiB में पिछले बाशिंदे के बाइट्स वैसे के वैसे पड़े मिलते हैं 1।
2,700 ऐसे डायरेक्टरी इनोड, जो उनके अपने नहीं थे
जिन छह प्लेसमेंट पर उन्होंने गिनती की, वहाँ रिसर्चर्स ने 5,614 जाँच-योग्य डायरेक्टरी ब्लॉक देखे — इनमें से एक को भी अपने फाइल सिस्टम का नहीं माना — और 2,700 अलग-अलग पराए डायरेक्टरी इनोड की पहचान की 1। हर प्लेसमेंट पर बचा-खुचा डेटा सामने आया: 24 में से 18 और 22 में से 20 अंडरलाइंग नोड्स पर, जो चार महाद्वीपों में फैले थे 13। क्लाउडफ्लेयर ने डायरेक्टरी स्ट्रक्चर, डेटाबेस पेज और संरचनात्मक रूप से पूर्ण SQLite डेटाबेस की मौजूदगी की पुष्टि की है; रिसर्चर्स की रिपोर्ट इनके अलावा Chromium प्रोफाइल, .env फाइलें और क्रेडेंशियल फाइलें भी गिनाती है — और इन सबको दूसरे ग्राहकों की फाइलें बताती है 134।
न कोई सबूत, न कोई कार्रवाई, न विंडो का पता
क्लाउडफ्लेयर ने प्रूफ ऑफ कॉन्सेप्ट के आधार पर डिटेक्शन बनाए, अपने पास रखी गई डिस्क-I/O टेलीमेट्री पर उन्हें चलाया, और उनमें सिर्फ़ रिसर्चर्स की और अपने इंजीनियरों की अधिकृत टेस्टिंग दिखी; कंपनी का कहना है कि ग्राहकों को कुछ करने की ज़रूरत नहीं 1। पोस्ट में कहीं यह नहीं बताया गया कि skip_block_zeroing पहली बार कब लागू हुई थी, इसलिए एक्सपोज़र विंडो — यानी कमज़ोरी कितने समय तक खुली रही — अनजान है 3।
रिसर्चर्स का कहना है कि डिस्क का यही सेटअप Browser Run (पहले Browser Rendering) को भी प्रभावित करता था — एक ऐसा प्रोडक्ट जिसका नाम क्लाउडफ्लेयर की पोस्ट नहीं लेती 349। जिन ग्राहकों की क्रेडेंशियल इस प्रोडक्ट से गुज़री हैं और जो उन्हें रोटेट (बदलने) का फैसला तौल रहे हैं, उनके लिए दायरे में एक और सतह जुड़ गई है — जबकि प्लेटफॉर्म का जवाब यही है कि उसकी टेलीमेट्री इस सवाल का फैसला कर देती है 13।
रैली की जान यही प्रोडक्ट है
जिस प्रोडक्ट लाइन में यह कमज़ोरी मिली है, मार्केट उसी के लिए भरपूर दाम चुका रहा है। क्लाउडफ्लेयर अपने Sandbox SDK को "अनट्रस्टेड कोड सुरक्षित रूप से चलाने" (run untrusted code securely) का तरीका बताकर बेचता है, और उस पर Claude Code, Codex, Cursor Cloud Agents और Devin चलाने के ट्यूटोरियल भी देता है 5।
Q2 2026 में क्लाउडफ्लेयर की तिमाही आमदनी 36% बढ़कर 696 मिलियन डॉलर पहुंची 67। जो रैली 353.04 डॉलर की चोटी तक गई, उसने मार्केट कैप को साल की शुरुआत से 78% ऊपर जाकर 125 अरब डॉलर पर पहुंचा दिया; UBS का टारगेट 350 डॉलर और TD Cowen का 355 डॉलर 2। एक हफ़्ते पहले शेयर 300 डॉलर के आसपास बिक रहे थे, और उनके नीचे आंतरिक मूल्य (intrinsic value) का अनुमान 189 डॉलर था 7।
तीन साल में तिमाही आमदनी दोगुनी से ज़्यादा
Data
| आमदनी | |
|---|---|
| Q3 '23 | $335.6M |
| Q4 '23 | $362.47M |
| Q1 '24 | $378.6M |
| Q2 '24 | $401M |
| Q3 '24 | $430.08M |
| Q4 '24 | $459.95M |
| Q1 '25 | $479.09M |
| Q2 '25 | $512.32M |
| Q3 '25 | $562.03M |
| Q4 '25 | $614.51M |
| Q1 '26 | $639.76M |
| Q2 '26 | $696.06M |
एस्केप नंबर छह
एकॉम्प्लिश के हिसाब से यह जुलाई से अब तक उसका छठा सैंडबॉक्स एस्केप (sandbox escape) है — इससे पहले Claude Cowork, Claude Code, Cursor का CLI, Docker और OpenAI का Codex आ चुके हैं 3। कोडेक्स के दोनों मामलों की रिपोर्ट 12 अगस्त को आई थी और आठ दिन के भीतर पैच दिए गए 8। रिकॉर्ड में कुछ ऐसा नहीं जो इस सिलसिले को वैल्यूएशन मल्टीपल (valuation multiple) से जोड़े — और कुछ ऐसा भी नहीं जो इसे खारिज कर दे। अब देखना यह है कि एस्केप नंबर छह वह कुछ बदलता है या नहीं, जो एस्केप नंबर पांच नहीं बदल पाया था। क्लाउडफ्लेयर AI कोड के लिए सेफ रूम बेच रहा है — और इस महीने उसकी फर्श ही रीसायकल निकली।
How this brief was made
01Gathered & sourced324 channels · 1,647 articles▾
Agents swept 324 channels and ingested 1,647 articles, then de-duplicated and ranked them for signal.
02Verified & cross-validated9 claims · 27 data feeds▾
Every one of 9 load-bearing claims was checked against primary sources, with 27 live data feeds reconciling the figures and charts.
- 1Cloudflare Blog, How Cloudflare addressed a cross-tenant data exposure vulnerability in Containers, 24 September 2026
- 2Finance Review Daily, Cloudflare Stock Surges to All-Time High as AI Demand Fuels Rally, 23 September 2026
- 3The Hacker News, Cloudflare Fixes Flaw That Let One Container Read Another Customer's Leftover Disk Data, 25 September 2026
- 4CyberPress, Cloudflare Sandbox Escape Flaw Exposes Other Customers' Files and Credentials, 25 September 2026
- 5Cloudflare Docs, Sandbox SDK: Build secure, isolated code execution environments, updated 13 August 2026
- 6Sharadar quarterly fundamentals, from Cloudflare's SEC filings, retrieved 26 September 2026
- 7ad-hoc-news, Resilient Cloudflare stock holds near $300 as AI push and guidance lift valuation debate, 1 September 2026
- 8BleepingComputer, Researchers escape OpenAI Codex sandbox to run commands on host, 20 September 2026
- 9Cloudflare Docs, Browser Run: Run headless Chrome on Cloudflare's global network, updated 11 August 2026
03Reviewed & edited2 human editors▾
2 editors read the draft against the evidence, tuned the framing, and signed off before it shipped.
Become a contributor
Reporting on the business of AI and want it read? We take pitches from outside contributors who bring primary sources and a number worth arguing about.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
