JPCERT-AT-2026-0021
JPCERT/CC
2026-07-30
GitHub rails / rails
Possible arbitrary file read and remote code execution in Active Storage variant processing
https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm
GMO Flatt Security Blog
深刻度「緊急」のRails脆弱性「KindaRails2Shell」（CVE-2026-66066）の概要と対応指針
https://blog.flatt.tech/entry/kindarails2shell_rails
JPCERT/CCでは、本脆弱性に関するエクスプロイトコードが公開されていることを確認しています。今後、本脆弱性を悪用する攻撃が広く行われる可能性があります。
当該製品を利用している場合、後述の「III. 対策」以降に記載の情報および開発者が提供する最新の情報をご確認の上、早期の対策の実施とあわせて侵害されていないかどうかの調査の実施を検討してください。
- activestorage 7.2.3.2より前のバージョン
- activestorage 8.0から8.0.5.1より前のバージョン
- activestorage 8.1から8.1.3.1より前のバージョン
本脆弱性は、次の3条件をすべて満たす環境に影響します。
- Active Storageを有効にしている場合
- variantプロセッサがlibvips（:vips）であること
- libvipsが配布パッケージなどの規定のビルドであること
※Active Storageのdirect upload機能にはデフォルトで認証が存在しないため、管理画面やAPI経由などユーザー向けのアップロード機能を持たないアプリケーションにおいても、Active Storageを有効にしている場合は本件の対象となる可能性があります。
※Rails 6.0.0から6.1.7.10までのバージョンについては、Active Storageがデフォルトとは異なる設定でセットアップされている場合に影響を受ける可能性があることを発見者が指摘しています。
なお、アップデートにあたっては以下の点にご留意ください。
- libvipsが8.13未満およびruby-vipsが2.2.1未満の場合、Active Storageの起動時に例外が発生し、アプリケーションが起動しません。事前にlibvipsを8.13以上およびruby-vipsを2.2.1以上へアップデートしてください
あわせて、エクスプロイトコードがすでに公開されていることから、影響を受ける可能性がある環境では、侵害を受けたことを前提とした対応が必要です。そのため、読み取り可能なすべての認証情報を漏えい済みとして扱い、変更することを推奨します。
なお、発見者はWAFによる対策の有効性は極めて限定的であり、WAFによる緩和策は修正版へのアップデートの代替にはならないとの指摘をしています。
Ethiack
KindaRails2Shell - Critical RCE in Rails via Active Storage (CVE-2026-66066)
https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066
Ruby on Rails Guides
Active Storage Overview
https://guides.rubyonrails.org/active_storage_overview.html
今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
JPCERT/CC
2026-07-30
I. 概要
2026年7月29日（現地時間）、Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性（CVE-2026-66066、通称「KindaRails2Shell」）に関する情報が公表されました。本脆弱性が悪用された場合、遠隔の第三者が細工したファイルをアップロードすることによって、サーバー上のファイルや認証情報を読み取り、リモートコード実行に至る可能性があります。GitHub rails / rails
Possible arbitrary file read and remote code execution in Active Storage variant processing
https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm
GMO Flatt Security Blog
深刻度「緊急」のRails脆弱性「KindaRails2Shell」（CVE-2026-66066）の概要と対応指針
https://blog.flatt.tech/entry/kindarails2shell_rails
JPCERT/CCでは、本脆弱性に関するエクスプロイトコードが公開されていることを確認しています。今後、本脆弱性を悪用する攻撃が広く行われる可能性があります。
当該製品を利用している場合、後述の「III. 対策」以降に記載の情報および開発者が提供する最新の情報をご確認の上、早期の対策の実施とあわせて侵害されていないかどうかの調査の実施を検討してください。
II. 対象
本脆弱性の対象となる製品およびバージョンは次のとおりです。詳細は、開発者が提供する最新の情報をご確認ください。- activestorage 7.2.3.2より前のバージョン
- activestorage 8.0から8.0.5.1より前のバージョン
- activestorage 8.1から8.1.3.1より前のバージョン
本脆弱性は、次の3条件をすべて満たす環境に影響します。
- Active Storageを有効にしている場合
- variantプロセッサがlibvips（:vips）であること
- libvipsが配布パッケージなどの規定のビルドであること
※Active Storageのdirect upload機能にはデフォルトで認証が存在しないため、管理画面やAPI経由などユーザー向けのアップロード機能を持たないアプリケーションにおいても、Active Storageを有効にしている場合は本件の対象となる可能性があります。
※Rails 6.0.0から6.1.7.10までのバージョンについては、Active Storageがデフォルトとは異なる設定でセットアップされている場合に影響を受ける可能性があることを発見者が指摘しています。
III. 対策
開発者のアドバイザリを参考に、本脆弱性を修正する最新のアップデートを適用してください。なお、アップデートにあたっては以下の点にご留意ください。
- libvipsが8.13未満およびruby-vipsが2.2.1未満の場合、Active Storageの起動時に例外が発生し、アプリケーションが起動しません。事前にlibvipsを8.13以上およびruby-vipsを2.2.1以上へアップデートしてください
あわせて、エクスプロイトコードがすでに公開されていることから、影響を受ける可能性がある環境では、侵害を受けたことを前提とした対応が必要です。そのため、読み取り可能なすべての認証情報を漏えい済みとして扱い、変更することを推奨します。
IV. 軽減策
修正アップデートをすぐに適用できない場合、libvipsが8.13以上、またはruby-vipsが2.2.1以上の環境では、回避策を適用できます。詳細は、開発者が提供する最新の情報をご確認ください。なお、発見者はWAFによる対策の有効性は極めて限定的であり、WAFによる緩和策は修正版へのアップデートの代替にはならないとの指摘をしています。
V. 参考情報
Ethiack
KindaRails2Shell - Critical RCE in Rails via Active Storage (CVE-2026-66066)
https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066
Ruby on Rails Guides
Active Storage Overview
https://guides.rubyonrails.org/active_storage_overview.html
今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
