Lo stato di Terraform è il registro che Terraform mantiene sull'infrastruttura che gestisce. Mappa le risorse definite nel codice agli oggetti cloud reali già creati, così Terraform può pianificare le modifiche invece di ricostruire tutto da zero. Poiché tiene traccia di ID delle risorse, nomi, endpoint e dipendenze, il file di stato può esporre metadati cloud sensibili e, in alcune configurazioni, segreti o riferimenti a credenziali.
Questo è importante perché gli aggressori spesso cercano file di stato su server di sviluppo esposti, root web configurati in modo errato o archivi pubblici. Un file Terraform state divulgato può rivelare come è costruito un ambiente, quali servizi esistono e dove si trovano gli asset cloud di maggior valore. Anche se le password non sono archiviate direttamente, il file può contenere abbastanza dettagli da supportare attacchi successivi, come il targeting di database, archivi di token o ruoli IAM. I difensori dovrebbero tenere i file di stato fuori dai percorsi pubblici, usare backend remoti con controlli di accesso rigorosi, crittografare lo stato a riposo e ruotare eventuali segreti trovati in una copia compromessa.