CVE-2026-66066 : exploitation d'une RCE ActiveStorage (Rails) quelques heures après le patch

🗓️ Contexte

Publié le 4 septembre 2026 par Frank Rietta sur rietta.com, cet article est un post-mortem détaillé d’un incident de sécurité impliquant la CVE-2026-66066 (alias KindaRails2Shell), une vulnérabilité de type exécution de code à distance (RCE) avec un score CVSS 9.5/10 affectant le composant ActiveStorage de Ruby on Rails 8 et versions ultérieures.

🔍 Découverte et divulgation

• 21 juillet 2026 : Découverte initiale par des chercheurs légitimes (Ethiack, dont André Baptista alias 0xacb).
• 22 juillet 2026 : Notification responsable aux mainteneurs de Ruby on Rails.
• 29 juillet 2026 : Publication du patch et attribution du numéro CVE. Le score CVSS n’est pas encore assigné en journée, mais monte à 9.5 en soirée.
• 29 juillet 2026, 21h47 EDT : Un proof-of-concept (PoC) public est commité sur GitHub, utilisant un fichier BMP malformé pour déclencher l’exploit — avant même la fin du déploiement du patch par Rietta.
• 30 juillet 2026, 18h51 EDT : Rails publie des outils forensiques avec des détails techniques.
• 31 juillet 2026, 6h56 EDT : Ethiack publie son analyse technique complète.

L’embargo initialement prévu jusqu’au 28 août 2026 a été rendu caduc par la publication anticipée du PoC et la rétro-ingénierie du diff de patch par des tiers.

🛡️ Réponse de Rietta

Rietta a déclenché une procédure d’urgence hotfix le soir du 29 juillet pour l’ensemble de sa base clients (entités HIPAA et agences gouvernementales d’État). Le patch a été appliqué via bundle update activestorage, validé par CI, et déployé à 23h09 EST pour le client gouvernemental concerné.

⚔️ Tentatives d’exploitation

Première tentative (sonde isolée) :

• 30 juillet 2026, 7h10:25 AM EST : Tentative d’exploitation depuis une adresse IP sur le réseau RIPE, avec un fichier BMP malicieux, user-agent se présentant comme Chrome 131.0.0 sur Windows 10. Survenue 8h01 après le patch, 13h22 avant la publication du PoC Ethiack.

Campagne soutenue :

• 3 août 2026, 10h01:05 AM EDT : Début d’un sondage continu et adaptatif utilisant cette fois un fichier PNG déguisé, depuis des adresses IP rotatives internationales.
• User-agents observés : spoofing du crawler Claude-SearchBot d’Anthropic, et un user-agent explicite Mozilla/5.0 (CVE-2026-66066 security verification) nommant ouvertement la CVE ciblée.
• Les tentatives se sont poursuivies tout au long du mois d’août 2026, souvent la nuit, avec adaptation aux contre-mesures mises en place.

📊 Corrélation PoC / attaque

La corrélation entre le PoC GitHub (fichier BMP malformé) et la première tentative d’attaque (également BMP malformé) suggère, par abduction logique, que l’attaquant a utilisé ce PoC public plutôt qu’un outil développé indépendamment. André Baptista d’Ethiack a confirmé publiquement que ce PoC était le premier à utiliser cette technique BMP.

📝 Nature de l’article

Cet article est un post-mortem technique et opérationnel publié par le prestataire de sécurité Rietta, visant à documenter la chronologie précise de la divulgation, du patching et de l’exploitation de la CVE-2026-66066, et à illustrer l’échec pratique des embargos de divulgation coordonnée face à la vitesse de la communauté de recherche offensive.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1203 — Exploitation for Client Execution (Execution)
• T1588.005 — Obtain Capabilities: Exploits (Resource Development)
• T1036 — Masquerading (Defense Evasion)
• T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)

IOC

• CVEs : CVE-2026-66066 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 4 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 51/100 (moyenne)

• ⬜ rietta.com — source non référencée (0pts)
• ✅ 16322 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://rietta.com/blog/ruby-on-rails-cve-exploited-hours-after-patch/