Was ist CVE-2026-66066? Schützen Sie Ihre Rails-App vor Active Storage RCE

Umgang mit CVE-2026-66066: Bedrohungsdetails, betroffene Komponenten und wie Sie geschützt bleiben

CVE-2026-66066: Was Sie wissen müssen

• Am 29. Juli 2026 veröffentlichte Rails Patches und einen Sicherheitshinweis für CVE-2026-66066, eine Schwachstelle für den Lesezugriff auf beliebige Dateien in Active Storage, die eine Remote-Codeausführung (RCE) ermöglichen kann

• Das Instrumentalisieren dieser Schwachstelle erfordert außerdem die Verwendung von libvips < Version 8.13

• Fastly Next-Gen WAF-Kunden können unseren neuen virtuellen Patch (veröffentlicht am 31. Juli 2026) aktivieren, um sofortigen Schutz vor Exploit-Versuchen zu erhalten, während die zugrunde liegenden Komponenten gepatcht werden.

• Betroffene Komponenten

  • Active Storage

    • < 7.2.3.2, 8.0 bis 8.0.5.1, 8.1 bis 8.1.3.1

• Um diese Schwachstelle zu entschärfen, müssen sowohl Active Storage als auch libvips aktualisiert werden

  • Active Storage

    • >= 7.2.3.2, >= 8.0.5.1, >= 8.1.3.1

  • libvips

    • >= 8.13

Was sind die Auswirkungen von CVE-2026-66066?

CVE-2026-66066 ist eine Arbitrary-File-Read-Schwachstelle (Lesezugriff auf beliebige Dateien), was bedeutet, dass sie es einem Angreifer ermöglicht, beliebige Dateien (und den Prozessspeicher) von einem anfälligen Webserver zu lesen. Wenn bestimmte Dateien gelesen werden, kann ein Angreifer dies ausnutzen, um die Remote-Code-Ausführung auf dem anfälligen Server zu erlangen. Ausführlichere Details zur genauen Ursache der Schwachstelle finden Sie im ausführlichen Forschungs-Post von Ethiack.

Was als Nächstes zu tun ist: virtuelles Patching und Behebung

Während unser virtueller Patch die überwiegende Mehrheit der Angriffsvektoren abwehrt, können je nach Ihrer spezifischen Umgebung und Konfiguration Grenzfälle auftreten. Das schnellstmögliche Einspielen der offiziellen Patches für Active Storage und libvips bleibt der beste Weg, um vollständigen Schutz zu gewährleisten.

Um den virtuellen Patch zu aktivieren, befolgen Sie die Aktivierungsanweisungen in unserer offiziellen Dokumentation.

Wenn Sie über eine potenzielle Ausnutzung besorgt sind, hat Rails außerdem Details zur Durchführung forensischer Untersuchungen für diese Schwachstelle veröffentlicht. Dazu gehört ein Forensik-Repo mit Claude-Skills zur Unterstützung bei der Forensik.

Quellenangaben

Rails-Sicherheitshinweis & technische Details:

• https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm

• https://discuss.rubyonrails.org/t/cve-2026-66066-attack-details-and-tools-to-perform-a-forensic-investigation/91441

Forschungsergebnisse von Ethiack: 

• https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066

• https://ethiack.com/info-hub/research/kindarails2shell-how-a-matlab-file-reads-your-secrets-and-pops-a-shell-on-ruby-on-rails