Ruby on Rails Active Storageにおけるリモートコード実行の脆弱性(CVE-2026-66066)に関する注意喚起
注意喚起: Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性（CVE-2026-66066）に関する注意喚起 (公開)
JPCERT/CCは、Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性(CVE-2026-66066、通称「KindaRails2Shell」)について注意喚起を発表しました。この脆弱性は、Active Storageが有効で、variantプロセッサがlibvips(:vips)であり、かつlibvipsが規定のビルドである場合に影響します。影響を受けるバージョンは、activestorage 7.2.3.2より前、8.0から8.0.5.1より前、8.1から8.1.3.1より前です。エクスプロイトコードが公開されており、悪用される可能性があるため、影響を受ける環境では侵害を受けたことを前提とした対応(認証情報の変更など)が推奨されます。対策として、開発者が提供する最新のアップデート適用が推奨されています。アップデートの際には、libvipsが8.13以上、ruby-vipsが2.2.1以上である必要があります。修正アップデートをすぐに適用できない場合の回避策も存在しますが、WAFによる対策の有効性は限定的であると指摘されています。
- Ruby on Rails Active Storageにリモートコード実行の脆弱性(CVE-2026-66066)が発見され、エクスプロイトコードが公開済み
- 影響バージョンはactivestorage 7.2.3.2未満、8.0~8.0.5.1未満、8.1~8.1.3.1未満
- 修正条件としてlibvips 8.13以上、ruby-vips 2.2.1以上が必要
セキュリティベンダや脆弱性管理ソリューションを提供する企業にとって、Railsエコシステムの広範な普及を背景に本脆弱性の修正需要は高く、関連パッチ・アップデートの提供やWAF/EDR製品のシグネチャ更新が短期的な収益機会となる。また、エクスプロイトコードが既に公開されている点は、サイバー保険市場やインシデント対応サービスへの需要を喚起する可能性がある。セキュリティ投資の観点では、フレームワークレベルの脆弱性がサプライチェーン全体に波及するリスクを再認識させる事例であり、SBOMや自動パッチ適用の重要性が高まる中で関連スタートアップへの注目が継続すると見る。