Rails CVE-2026-66066、修正8時間後に政府サイト攻撃

要約

Ruby on Rails 8以降のActiveStorageにあるRCE脆弱性CVE-2026-66066が、パッチ公開から約8時間後に政府系サイトで悪用された。脆弱性のCVSSは後から9.5/10に上昇したが、公開コード差分から攻撃手法を逆解析でき、公開PoCは修正公開から5時間以上でGitHubに現れた。対象サイトへの最初の攻撃は7月30日7時10分25秒に悪意のあるBMPファイルで発生し、8月3日からPNGなどを使う継続的な探索へ拡大した。攻撃はパッチで阻止されたが、修正公開から実 exploit までの猶予は数時間にすぎず、記事はCVSSや詳細解説を待たず専用セキュリティリリースを即時適用すべきだと論じた。