정부 Rails 사이트, CVE 패치 8시간 만에 공격받아
Government Rails Site Hit Hours After CVE Patch
Rietta가 Ruby on Rails의 ActiveStorage에서 발견된 심각한 원격 코드 실행 취약점(CVE-2026-66066)에 대한 긴급 핫픽스를 모든 고객에게 적용한 지 불과 8시간 만에, 한 주 정부 기관 고객이 악성 BMP 파일을 이용한 첫 공격 시도를 기록했습니다. 이 글은 패치 공개와 실제 악용 사이의 시간 간격이 단 몇 시간에 불과할 수 있음을 보여주며, CVSS 점수나 공개 일정을 기다리지 말고 보안 릴리스를 즉시 패치해야 한다고 강조합니다. 또한, 공개된 PoC 익스플로잇이 패치 배포 전에 이미 GitHub에 커밋되었고, 이후 한 달간 지속적이고 다양한 공격 시도가 있었다는 점을 지적합니다.
패치가 배포되는 순간, 그 수정 사항 자체는 공개된 코드 diff이므로, 누구든지 읽고 악용 방법을 스스로 찾아낼 수 있습니다. 우리 로그는 '패치 게시'와 '실제 악용 시도' 사이의 간격이 몇 주가 아니라 몇 시간에 불과할 수 있음을 증명합니다.
HN 토론
35- throwatdem12311
방금 이걸 상사에게 보냈어. 아무것도 모르는 사람들 파티에 울타리 너머로 수류탄을 던지는 기분이야.
우리는 ActiveStorage를 사용하지 않지만, Claude는 우리 자체 파일 업로드 라이브러리를 통해 우리 앱에서도 똑같은 방식으로 유사한 익스플로잇을 3분 만에 만들 수 있었어. 그냥 Opus 5를 우리 사이트에 연결하고 KindaRails2Shell과 유사한 공격에 취약한지 물어봤을 뿐인데.
참 재미있는 시대에 살고 있네.
- tyre
이 글은 10분의 1 길이로 줄일 수 있어:
- 패치에 버그가 있었음
- 우리는 그것을 고객들에게 적용했음
- 패치가 공개된 지 8시간 만에 실제 익스플로잇이 있었음
- Rails 팀은 기술적 세부 사항 공개를 서두를 수밖에 없었는데, PoC가 이미 공개되어 비공개 유지가 무의미해졌기 때문임
- comrade1234
이런 일이 일어나려면 Rails 서버에서 MATLAB을 실행해야 하나?
- jeremyjh
좋은 글이다, Claude.
- onemoresoop
이 웹사이트 형식은 모바일에서 정말 이상해. 텍스트 두 줄밖에 읽을 수 없어. 나머지는 큰 배너에 가려져 있어. iOS 사용 중이야. 나만 이런 문제가 있는 건가, 아니면 다른 사람도 겪고 있나?