Правительственный сайт на Rails атакован через 8 часов после патча CVE-2026-66066
Government Rails Site Hit Hours After CVE Patch
Компания Rietta, обслуживающая сайты на Ruby on Rails для госорганов и медучреждений, экстренно закрыла критическую уязвимость ActiveStorage (CVE-2026-66066, CVSS 9.5) в день выхода патча. Однако первая атака на клиента произошла уже через 8 часов, ещё до публикации технических деталей. Анализ логов показывает, что злоумышленники использовали публичный PoC-эксплойт, появившийся на GitHub ещё до завершения патчинга. Это ставит под сомнение эффективность скоординированного раскрытия уязвимостей и подчёркивает необходимость немедленного патчинга без ожидания оценок severity.
Скоординированный график раскрытия не даёт защитникам льготного периода: как только патч выпущен, само исправление — публичный дифф кода — доступно любому, кто готов его прочитать, не дожидаясь пояснений на понятном языке.
- throwatdem12311
Только что отправил это своему боссу. Почувствовал себя так, будто перебросил гранату через забор на вечеринку ничего не подозревающих людей.
Мы не используем ActiveStorage, но Клод смог создать аналогичный эксплойт в нашем собственном приложении точно таким же способом через нашу собственную библиотеку загрузки файлов за 3 минуты, просто направив Opus 5 на наш сайт и спросив, уязвимы ли мы для атаки, похожей на KindaRails2Shell.
Какое время, чтобы быть живым.
- tyre
Этот пост можно было бы сократить на 90%:
- Была ошибка с патчем
- Мы применили его к нашим клиентам
- В течение восьми часов после выпуска патча уже были реальные эксплойты
- Команде Rails пришлось ускорить публикацию технических деталей, потому что POC-эксплойты сделали эмбарго ненужным
- comrade1234
Нужно ли, чтобы MATLAB работал на вашем Rails-сервере, чтобы это произошло?
- jeremyjh
Хороший отчёт, Клод.
- onemoresoop
Формат этого сайта очень странный для мобильных устройств, я могу прочитать только две строки текста. Остальное закрыто большим баннером. Я на iOS. У кого-нибудь ещё есть эта проблема, или это только у меня?