Bénéficiez de toutes les fonctionnalités d’un CDN moderne : une scalabilité transparente, une sécurité intégrée, un contrôle par programmation et une visibilité totale.
Qu'est-ce que la CVE-2026-66066 ? Protéger votre application Rails de la RCE d'Active Storage
Apprenez-en plus sur la CVE-2026-66066 : une vulnérabilité de lecture de fichiers arbitraires dans Rails Active Storage. Comprenez les risques et protégez votre environnement grâce à notre correctif virtuel.
Comprendre la CVE-2026-66066 : détails de la menace, composants concernés et comment rester protégé
CVE-2026-66066 : ce que vous devez savoir
Le 29 juillet 2026, Rails a publié des correctifs et un avis de sécurité pour la CVE-2026-66066, une vulnérabilité de lecture de fichiers arbitraires dans Active Storage pouvant permettre l'exécution de code à distance (RCE).
L'exploitation de cette vulnérabilité nécessite également l'utilisation de libvips < version 8.13.
Les clients de Fastly Next-Gen WAF peuvent activer notre nouveau correctif virtuel (publié le 31 juillet 2026) pour obtenir une protection immédiate contre les tentatives d'exploitation pendant que les composants sous-jacents sont corrigés.
Composants concernés :
Active Storage
< 7.2.3.2, 8.0 jusqu'à 8.0.5.1 et 8.1 jusqu'à 8.1.3.1
Pour atténuer cette vulnérabilité, il faut mettre à jour à la fois Active Storage et libvips :
Active Storage
>= 7.2.3.2, >= 8.0.5.1 et >= 8.1.3.1
libvips
>= 8.13.
Quels sont les impacts de la CVE-2026-66066 ?
La CVE-2026-66066 est une vulnérabilité de lecture de fichiers arbitraires, ce qui signifie qu'elle permet à un hacker de lire des fichiers arbitraires (et la mémoire des processus) à partir d'un serveur web vulnérable. Si certains fichiers sont lus, le hacker peut exploiter cela pour obtenir une exécution de code à distance sur le serveur vulnérable. Pour de plus amples informations sur la cause exacte de la vulnérabilité, consultez l'article de recherche détaillé d'Ethiack.
Que faire ensuite : correctifs virtuels et remédiation
Bien que notre correctif virtuel atténue la plupart des vecteurs d'attaque, des cas particuliers peuvent exister selon votre environnement et votre configuration. L'application des correctifs officiels à Active Storage et à libvips dès que possible reste le meilleur moyen de garantir une protection totale.
Pour activer le correctif virtuel, suivez les instructions d'activation figurant dans notre documentation officielle.
Si vous craignez une exploitation potentielle, Rails a également publié des informations sur la manière d’effectuer une analyse forensique pour cette vulnérabilité. Cela comprend un dépôt d'investigation avec des compétences Claude pour vous aider dans votre analyse forensique.
Références
Avis Rails et détails techniques :
Recherche d'Ethiack :