ブログに戻る

フォロー&ご登録

CVE-2026-66066 とは ?Active Storage RCE から Rails アプリを保護する

CVE-2026-66066 : Rails Active Storage における任意のファイル読み込みの脆弱性。リスクを把握し、仮想パッチで環境を保護してください。

Matthew Mathur
Matthew Mathurシニアセキュリティリサーチャー, Fastly
Fastly セキュリティリサーチチーム
Fastly セキュリティリサーチチームFastly のセキュリティリサーチチーム, Fastly
セキュリティ
黄色の輝く盾から、ひび割れた灰色の盾が剥がれ落ちるイラスト。

CVE-2026-66066の解説 : 脅威の詳細、影響を受けるコンポーネント、保護対策

CVE-2026-66066 : 把握しておくべきポイント

  • 2026年7月29日、Rails は、リモートコード実行 (RCE) を可能にする Active Storage の任意ファイル読み取りの脆弱性 CVE-2026-66066 に対するパッチとアドバイザリをリリースしました

  • この脆弱性を悪用するには、libvips < バージョン8.13を使用している必要もあります。

  • Fastly Next-Gen WAF をご利用のお客様は、新しい仮想パッチ (2026年7月31日リリース) を有効化することで、基盤コンポーネントへのパッチ適用中も、悪用の試みから即座に保護できます。

  • 影響を受けるコンポーネント

    • アクティブストレージ

      • < 7.2.3.2、8.0～8.0.5.1、8.1～8.1.3.1

  • この脆弱性を軽減するには、Active Storage と libvips の両方を更新する必要があります

    • アクティブストレージ

      • >= 7.2.3.2, >= 8.0.5.1, >= 8.1.3.1

    • libvips

      • >= 8.13

CVE-2026-66066 による影響とは ?

CVE-2026-66066 は任意のファイル読み取りの脆弱性であり、攻撃者が脆弱な Web サーバーから任意のファイル (およびプロセスメモリ) を読み取ることが可能になります。特定のファイルが読み取られた場合、攻撃者はこれを利用して脆弱なサーバー上でリモートコード実行を行うことができます。脆弱性の正確な原因に関する詳細については、Ethiack による詳細な調査投稿をご覧ください。

次のステップ : 仮想パッチと修復

当社の仮想パッチは大部分の攻撃ベクトルを軽減しますが、特定の環境や設定によっては、エッジケースが存在する可能性があります。完全な保護を確保するには、できるだけ早く Active Storage と libvips に公式パッチを適用することが、引き続き最善の方法です。

仮想パッチを有効にするには、公式ドキュメントの有効化手順に従ってください。

悪用の可能性を懸念される場合、Rails でもこの脆弱性に対するフォレンジックの実施方法に関する詳細を公開しています。これには、フォレンジックを支援する Claude skills を備えた フォレンジックリポジトリが含まれます。

参照リンク

Rails アドバイザリ & 技術的な詳細 :

Ethiackによる調査 :

Fastly を試してみませんか？

ぜひご連絡ください
お問い合わせ