Che cos'è CVE-2026-66066? Proteggere l'app Rails dall'RCE in Active Storage

CVE-2026-66066: come orientarsi tra dettagli della minaccia, componenti interessati e misure di protezione

CVE-2026-66066: cosa devi sapere

• Il 29 luglio 2026, Rails ha rilasciato le patch e un avviso di sicurezza relativi a CVE-2026-66066, una vulnerabilità di lettura arbitraria di file in Active Storage che può consentire l'esecuzione di codice remoto (RCE).

• Per sfruttare questa vulnerabilità è inoltre necessario utilizzare libvips < versione 8.13

• I clienti del WAF Next-Gen di Fastly possono attivare la nostra nuova patch virtuale (rilasciata il 31 luglio 2026) per ottenere una protezione immediata dai tentativi di exploit mentre i componenti sottostanti vengono corretti con le patch.

• Componenti interessati

  • Active Storage

    • < 7.2.3.2, 8.0 fino a 8.0.5.1, 8.1 fino a 8.1.3.1

• Per mitigare questa vulnerabilità è necessario aggiornare sia Active Storage che libvips

  • Active Storage

    • >= 7.2.3.2, >= 8.0.5.1, >= 8.1.3.1

  • libvips

    • >= 8.13

Quali sono gli impatti di CVE-2026-66066?

CVE-2026-66066 è una vulnerabilità che consente la lettura arbitraria di file, ovvero permette a un malintenzionato di leggere file arbitrari (e la memoria del processo) da un server web vulnerabile. Se vengono letti determinati file, un hacker può sfruttare questo aspetto per ottenere l'esecuzione di codice da remoto sul server vulnerabile. Per ulteriori dettagli sulla causa esatta della vulnerabilità, consulta il post di ricerca dettagliato di Ethiack.

Cosa fare dopo: patch virtuali e correzioni

Sebbene la nostra patch virtuale mitighi la stragrande maggioranza dei vettori di attacco, potrebbero verificarsi casi limite a seconda dell'ambiente e della configurazione specifici. L'applicazione delle patch ufficiali ad Active Storage e libvips il prima possibile rimane il modo migliore per garantire una protezione totale.

Per abilitare la patch virtuale, segui le istruzioni di abilitazione riportate nella nostra documentazione ufficiale.

Se temi che questa vulnerabilità possa essere sfruttata, Rails ha anche pubblicato dettagli su come eseguire l'analisi forense per questa vulnerabilità. Questo include un repository di analisi forense che include le competenze di Claude per facilitare tali analisi.

Documenti di riferimento

Consigli e dettagli tecnici su Rails:

• https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm

• https://discuss.rubyonrails.org/t/cve-2026-66066-attack-details-and-tools-to-perform-a-forensic-investigation/91441

Ricerca condotta da Ethiack: 

• https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066

• https://ethiack.com/info-hub/research/kindarails2shell-how-a-matlab-file-reads-your-secrets-and-pops-a-shell-on-ruby-on-rails