KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-66066 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Ruby on Rails 是一款开源 Web 应用框架，其 Active Storage 组件负责文件附件和图片变体处理。2026年7月披露该组件存在远程代码执行漏洞（CWE-1188）。该漏洞源于 Active Storage 在使用 libvips 处理图片变体时未禁用不安全加载器（unfuzzed loaders），Rails 7.0+ 默认配置即受影响。未经身份认证的远程攻击者可上传特制文件，通过变体处理功能触发 libvips 不安全操作读取服务器任意文件，获取 secret_key_base 等密钥，进而伪造签名载荷触发 Ruby Marshal 反序列化，导致远程代码执行、服务器失陷。
受影响版本：7.0.0–7.2.3.1、8.0.0–8.0.5、8.1.0–8.1.3。
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
1、升级至 7.2.3.2、8.0.5.1 或 8.1.3.1，升级后轮换 secret_key_base 及所有应用环境中的密钥。
2、利用安全组设置其仅对可信地址开放。
3、确保 libvips 版本不低于 8.13，可设置 VIPS_BLOCK_UNTRUSTED 环境变量作为临时缓解。
参考信息
http://www.openwall.com/lists/oss-security/2026/07/29/9
http://www.openwall.com/lists/oss-security/2026/08/01/6
https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066
https://github.com/rails/rails-forensics-CVE-2026-66066
https://github.com/rails/rails/commit/1c01bb587206ee6eb0e1179c2cef96a6a47acb1e
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。