¿Qué es la CVE-2026-66066? Cómo proteger tu aplicación de Rails frente a la vulnerabilidad RCE de Active Storage

Cómo abordar CVE-2026-66066: detalles de la amenaza, componentes afectados y cómo mantenerte a salvo

CVE-2026-66066: lo que debes saber

• El 29 de julio de 2026, Rails publicó parches y una advertencia sobre el CVE-2026-66066, una vulnerabilidad de lectura de archivos arbitrarios en Active Storage que permite la ejecución remota de código (RCE)

• Aprovechar esta vulnerabilidad también requiere el uso de libvips < versión 8.13

• Los clientes de WAF de última generación de Fastly pueden activar nuestro nuevo parche virtual (lanzado el 31 de julio de 2026) para disfrutar de protección inmediata frente a intentos de explotación mientras se aplican los parches a los componentes subyacentes.

• Componentes afectados

  • Active Storage

    • < 7.2.3.2, 8.0 hasta 8.0.5.1, 8.1 hasta 8.1.3.1

• Para mitigar esta vulnerabilidad hay que actualizar tanto Active Storage como libvips

  • Active Storage

    • >= 7.2.3.2, >= 8.0.5.1, >= 8.1.3.1

  • libvips

    • >= 8.13

Consecuencias de CVE-2026-66066

CVE-2026-66066 es una vulnerabilidad de lectura de archivos arbitrarios, lo que significa que permite a un atacante leer archivos arbitrarios (y la memoria del proceso) desde un servidor web vulnerable. Si se leen determinados archivos, un atacante puede aprovecharlo para ejecutar código de forma remota en el servidor vulnerable. Para conocer con más detalle la causa exacta de la vulnerabilidad, echa un vistazo a la publicación detallada de Ethiack sobre la investigación.

Qué hacer a continuación: parches virtuales y corrección

Aunque nuestro parche virtual mitiga la gran mayoría de los vectores de ataque, pueden darse casos excepcionales dependiendo del entorno y la configuración específicos que tengas. La mejor forma de garantizar una protección total sigue siendo aplicar los parches oficiales a Active Storage y libvips lo antes posible.

Para activar el parche virtual, sigue las instrucciones de activación en nuestra documentación oficial.

Si te preocupa que puedan aprovecharse de esta vulnerabilidad, Rails también ha publicado información sobre cómo llevar a cabo un análisis forense de la misma. Esto incluye un repositorio forense con habilidades de Claude para ayudarte con el análisis.

Referencias

Advertencia de Rails y detalles técnicos:

• https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm

• https://discuss.rubyonrails.org/t/cve-2026-66066-attack-details-and-tools-to-perform-a-forensic-investigation/91441

Investigación de Ethiack: 

• https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066

• https://ethiack.com/info-hub/research/kindarails2shell-how-a-matlab-file-reads-your-secrets-and-pops-a-shell-on-ruby-on-rails