Staats-Website nur Stunden nach CVE-Patch angegriffen
Government Rails Site Hit Hours After CVE Patch
Rietta, ein Sicherheitsdienstleister, patchte Kunden-Websites mit Ruby on Rails 8 gegen die kritische Schwachstelle CVE-2026-66066 (KindaRails2Shell) in ActiveStorage. Nur acht Stunden nach dem Patch wurde eine staatliche Behörde angegriffen – noch bevor Rails eigene Forensik-Tools veröffentlichte. Ein öffentlicher Proof-of-Concept auf GitHub erschien sogar vor Abschluss der Patches. Der Artikel zeigt, dass Embargofristen wirkungslos sind und schnelles Handeln entscheidend ist.
„Die Lücke zwischen ‚Patch veröffentlicht‘ und ‚funktionierender Exploit-Versuch‘ kann in Stunden gemessen werden, nicht in Wochen, unabhängig vom Embargo-Datum.“
- throwatdem12311
Habe das gerade meinem Chef geschickt. Fühlte sich an, als würde man eine Granate über einen Zaun auf eine Party ahnungsloser Leute werfen.
Wir nutzen ActiveStorage nicht, aber Claude konnte in unserer eigenen App auf genau dieselbe Weise einen ähnlichen Exploit erstellen – über unsere eigene Datei-Upload-Bibliothek – in 3 Minuten, indem er einfach Opus 5 auf unsere Website richtete und fragte, ob wir anfällig für einen Angriff ähnlich wie KindaRails2Shell wären.
Was für eine Zeit, um am Leben zu sein.
- tyre
Dieser Beitrag könnte 10% so lang sein:
- Es gab einen Fehler mit einem Patch
- Wir haben ihn auf unsere Kunden angewendet
- Es gab Live-Exploits innerhalb von acht Stunden nach Veröffentlichung des Patches
- Das Rails-Team musste die Veröffentlichung der technischen Details beschleunigen, weil POCs die Notwendigkeit einer Embargo-Frist hinfällig machten
- comrade1234
Muss man Matlab auf seinem Rails-Server laufen haben, damit das passiert?
- jeremyjh
Schöner Beitrag, Claude.
- onemoresoop
Das Format dieser Website ist wirklich seltsam für Mobilgeräte, ich kann nur zwei Textzeilen lesen. Der Rest wird von einem großen Banner abgedeckt. Ich bin auf iOS. Hat noch jemand dieses Problem oder liegt es nur an mir?