深刻度「緊急」のRails脆弱性「KindaRails2Shell」（CVE-2026-66066）の概要と対応指針 - GMO Flatt Security Blog

2026年7月30日、認証を必要とせず、リモートからの任意コード実行（RCE）につながり得る脆弱性「CVE-2026-66066」を修正したRuby on Rails 7.2.3.2、8.0.5.1、8.1.3.1が公開されました（参考：Possible arbitrary file read and remote code execution in Active Storage variant processing）。 本脆弱性は、弊社GMO Flatt Securityのリサーチチームに所属するRyotaK、およびEthiackのAndré Baptista氏、Bruno Mendes氏、Castilho氏からなるチームによって、それぞれ独立に発見・報告されました。その後、関係者間で開示に向けた調整が行われ、修正に至っています。Ethiackが公開した本脆弱性に関する英語記事は、こちら

[masatomo-m]

とりあえず手元のプロジェクトのチェックをしているなう

[z67kjh]

libvips起因か。画像変換は難しいのだなあ

[mska]

どうせSVGあたりのパーサが狙われたんでしょうな。人類にはCでのxmlパーサはは早すぎた(言い過ぎ)

[KoshianX]

Active Storage というか libvips の脆弱性なのかな?

[YassLab]

“脆弱性の概要と必要な対応を広く周知することを目的として執筆しました。脆弱性の悪用を少しでも遅らせるため、現時点では技術的な詳細を公開できないことをお詫び申し上げます。”

[houyhnhm]

なる。

[Shinwiki]

ま、まじかー

[fellfield]

先日のwp2shellに続いてRailsも。

[nguyen-oi]

Active Storage周りのRCEはマジで影響範囲広いからRails勢は今すぐバージョン上げるしかないやつだな

[mkusaka]

Rails脆弱性CVE-2026-66066「KindaRails2Shell」を解説し、RCE予防にRails 7.2.3.2/8.0.5.1/8.1.3.1へアップデート推奨

[defiant]

この記事をおすすめしました