Ruby on Rails treibt still und leise einen riesigen Teil des Webs an — von kleinen Hobby-Projekten bis zu Schwergewichten wie GitLab, Mastodon und Discourse. Jetzt schlagen die Rails-Maintainer Alarm: Die Lücke CVE-2026-66066 in der Upload-Komponente Active Storage ist kritisch, der Exploit-Code kursiert bereits öffentlich.
UNGLAUBLICH: Ein Bild wird zum Einbruchswerkzeug
Active Storage kümmert sich in Rails-Apps um Datei-Uploads und erzeugt dabei automatisch Vorschaubilder — standardmäßig mit der Bildbibliothek libvips. Genau hier sitzt das Problem: Lädt ein Angreifer ein speziell präpariertes Bild hoch, kann er beim Verarbeiten beliebige Dateien vom Server auslesen — ganz ohne Login.
Zu den Voraussetzungen gehört nur, dass die App Bild-Uploads von nicht vertrauenswürdigen Nutzern erlaubt — also etwa Avatare, Foto-Anhänge oder Galerie-Funktionen. Genau das tun unzählige Anwendungen.
GEFAHR! Vom Datei-Leak zur kompletten Übernahme
Warum die Einstufung „kritisch“? Unter den auslesbaren Daten ist auch die Prozess-Umgebung — und dort liegen typischerweise die secret_key_base sowie Zugangsdaten für Datenbank, Cloud-Speicher und andere Dienste. Die Sicherheitsfirma Akamai hat die Angriffskette „KindaRails2Shell“ getauft und warnt: Wer den kryptografischen Hauptschlüssel einer Rails-App besitzt, kann Session-Cookies fälschen und serialisierte Daten manipulieren — was direkt in einer vollständigen Codeausführung (RCE) auf dem Server endet.
Eigentlich wollten die Rails-Maintainer die technischen Details erst am 28. August veröffentlichen. Weil aber sehr schnell öffentliche Proof-of-Concept-Exploits auftauchten, haben sie die vollständige Analyse samt Forensik-Werkzeugen vorgezogen — damit Admins prüfen können, ob sie bereits angegriffen wurden.
Diese Versionen sind betroffen
Verwundbar ist Active Storage vor 7.2.3.2, in der Reihe 8.0 vor 8.0.5.1 und in der Reihe 8.1 vor 8.1.3.1. Rails 6.x ist nur bei einer von den Standardwerten abweichenden Active-Storage-Konfiguration betroffen. Wichtig: ImageMagick-Setups sind von diesem Angriffsweg nicht betroffen — aber libvips ist der Standard in den offiziellen Rails-Docker-Images sowie bei Debian- und Ubuntu-Installationen.
So rettest du deinen Server in 4 Schritten
1. Updaten: Rails bzw. Active Storage auf 7.2.3.2, 8.0.5.1 oder 8.1.3.1 heben.
2. libvips prüfen: Das Rails-Team empfiehlt zusätzlich libvips 8.13 oder neuer. Dort lässt sich die verwundbare Funktionalität mit der Umgebungsvariable VIPS_BLOCK_UNTRUSTED notfalls komplett abschalten. Für ältere libvips-Versionen gibt es keinen Workaround.
3. Geheimnisse rotieren: Nach dem Patch secret_key_base, Datenbank-Zugangsdaten und alle weiteren Secrets erneuern — sie könnten bereits abgeflossen sein.
4. Forensik fahren: Mit den offiziellen Untersuchungs-Tools der Rails-Maintainer nach Spuren früherer Angriffe suchen.
FAZIT: Self-Hoster, schaut auf eure Rails-Apps
Ob GitLab-Instanz, Mastodon-Server oder Discourse-Forum — viele beliebte Self-Hosting-Projekte basieren auf Rails. Ob eine konkrete App über diesen Weg angreifbar ist, hängt von ihrer Upload-Konfiguration ab: Prüfe die Security-Advisories deiner Projekte und spiele anstehende Updates zügig ein. Erst vergangene Woche traf es mit TeamCity eine weitere beliebte Server-Software — die Schlagzahl bleibt hoch.