「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」

ウェブアプリケーションフレームワーク「Ruby on Rails」に深刻な脆弱性が判明した。WAFで攻撃を回避することは難しいとされており、アップデートの実施が呼びかけられている。

「Active Storage」を利用し、画像処理エンジンとして「libvips」を使用している場合、リモートからのコード実行につながるおそれがある脆弱性「CVE-2026-66066」が判明したもの。報告した一部の研究者は別名「KindaRails2Shell」とも呼んでいる。

依存ライブラリである「libvips」において安全でない操作が可能となっていることに起因。細工したファイルをアップロードすることで、認証を必要とすることなく任意のファイルを読み取ることが可能となる。

プロセスの環境変数や秘密鍵、外部サービスの認証情報などが窃取された場合、リモートより任意のコードを実行されたり、さらなる攻撃に悪用されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.5」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2026/07/31 ）ツイート