📰 Source : SecurityWeek, publié le 1er août 2026. L’article rapporte la publication de correctifs par les mainteneurs de Ruby on Rails pour une vulnérabilité critique affectant le composant Active Storage.

🔍 Vulnérabilité : Identifiée sous CVE-2026-66066 (score CVSS 9.5), la faille est décrite comme une lecture arbitraire de fichiers permettant à un attaquant non authentifié d’accéder à des fichiers sensibles sur le système de fichiers du serveur, y compris l’environnement du processus.

⚙️ Mécanisme d’exploitation :

  • La vulnérabilité affecte les applications utilisant la bibliothèque libvips pour le traitement d’images via Active Storage
  • Les applications concernées doivent autoriser l’upload d’images depuis des utilisateurs non fiables
  • libvips marque certaines opérations de lecture/écriture comme « unfuzzed » (non sécurisées pour du contenu non fiable), et Active Storage ne désactivait pas ces opérations
  • Un attaquant peut uploader un fichier crafté pour déclencher ces opérations et accéder à des fichiers arbitraires

💥 Impact :

  • Exposition de secret_key_base et d’identifiants pour des systèmes externes
  • Escalade possible vers une exécution de code à distance (RCE)
  • Possibilité de mouvement latéral vers d’autres systèmes

🛠️ Correctifs disponibles :

  • Active Storage versions 7.2.3.2, 8.0.5.1 et 8.1.3.1
  • Mise à jour de libvips vers au moins la version 8.13 requise
  • Les secrets potentiellement exposés doivent être considérés comme compromis et renouvelés

📊 Exploitation : Selon Rapid7, au 30 juillet 2026, aucune exploitation dans la nature n’a été observée.

🏷️ Type d’article : Patch de sécurité — l’article vise à informer les utilisateurs de Ruby on Rails de la disponibilité de correctifs critiques et des conditions d’exploitation de la vulnérabilité.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1083 — File and Directory Discovery (Discovery)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1210 — Exploitation of Remote Services (Lateral Movement)

IOC

  • CVEs : CVE-2026-66066 — NVD · CIRCL

🟡 Indice de vérification factuelle : 64/100 (moyenne)

  • ✅ securityweek.com — source reconnue (liste interne) (20pts)
  • ✅ 2606 chars — texte partiel (fulltext extrait) (13pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ 0/1 CVE(s) confirmée(s) (0pts)

🔗 Source originale : https://www.securityweek.com/ruby-on-rails-patches-critical-vulnerability/