【要点】
◎JPCERT/CCはRailsの重大脆弱性「KindaRails2Shell」のPoC公開を受け、早急な更新と侵害前提の認証情報変更を推奨し、WAFだけでは十分な対策にならないと警告した (JPCERT/CC)
【脆弱性内容】 (★: TT 脆弱性 Blog 内の詳細記事リンク)
| ★ |
CVE公開日 |
CVE登録日 |
CVE番号 |
NVD |
ベンダー |
CVSS v4 |
CVSS v3 |
CWE |
脆弱性 |
KEV公開日 |
備考 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| ★ | 2026/07/30 | 2026/07/23 | CVE-2026-66066 | NVD | rails | 9.5(GitHub) |
- | CWE-1188 | リソースの安全ではないデフォルト値への初期化 | - | rails |
【要約】
JPCERT/CCは、Ruby on RailsのActive Storageに存在する重大な脆弱性「CVE-2026-66066（KindaRails2Shell）」について注意喚起を公表した。本脆弱性は、Active Storageとlibvipsを利用する環境で細工したファイルのアップロードによりファイルや認証情報の窃取、リモートコード実行へ発展する恐れがある。既にエクスプロイトコードが公開されているため、修正版への早急な更新に加え、影響を受ける可能性がある環境では侵害を前提として認証情報を変更することを推奨している。また、WAFによる防御効果は限定的であり、アップデートの代替にはならないと強調している。
【公開情報】
◆Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性（CVE-2026-66066）に関する注意喚起 (JPCERT/CC, 2026/07/30)
https://www.jpcert.or.jp/at/2026/at260021.html
