关于Ruby on Rails远程代码执行漏洞（CVE-2026-66066）的预警提示

一、漏洞详情

Ruby on Rails是一个基于Ruby语言的开源Web应用框架。

近日，监测到官方修复Ruby on Rails远程代码执行漏洞（CVE-2026-66066），该漏洞源于Rails Active Storage使用libvips 处理图像时，未对MATLAB/HDF5格式文件的外部存储引用进行安全限制。攻击者可构造恶意HDF5文件，利用其外部存储特性读取容器内敏感文件，提取SECRET_KEY_BASE密钥。随后使用该密钥签名包含MiniMagick::Tool对象的恶意Marshal payload，绕过签名验证，触发反序列化执行任意系统命令。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Ruby on Rails Active Storage < 7.2.3.2

8.0 <= Ruby on Rails Active Storage < 8.0.5.1

8.1 <= Ruby on Rails Active Storage < 8.1.3.1

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

Ruby on Rails Active Storage >= 7.2.3.2

Ruby on Rails Active Storage 8.0 >= 8.0.5.1

Ruby on Rails Active Storage 8.1 >= 8.1.3.1