补丁发布数小时后，政府 Rails 站点遭攻击
Government Rails Site Hit Hours After CVE Patch
2026 年 7 月，Ruby on Rails 的 ActiveStorage 组件曝出严重远程代码执行漏洞 CVE-2026-66066。尽管官方发布了补丁并设定了保密期，但 GitHub 上很快出现了公开的 Proof-of-Concept 利用代码。我们的团队在当晚紧急为包括州政府机构在内的客户部署了热修复。然而，就在补丁上线仅 8 小时后，针对某州政府的攻击尝试便已发生。这次事件揭示了一个残酷现实：协调披露机制的保密期在补丁代码公开后已形同虚设，攻击者利用代码差异逆向工程的速度远超预期。对于处理敏感数据的系统而言，等待 CVSS 评分或正式报告是致命的，必须在补丁发布后的数小时内完成修复。
协调披露的时间线并不能为防御者争取宽限期，补丁发布的那一刻，公开的代码差异就足以让任何愿意阅读的人获取修复方案。
HN 评论区
35- throwatdem12311
刚把这事儿发给我老板了。感觉就像往一群毫无防备的派对人群头上扔了颗手榴弹。
我们没用 ActiveStorage，但 Claude 还是能在 3 分钟内，通过我们自己的文件上传库，用完全相同的方式在我们的应用里复现类似的漏洞。它只需要把 Opus 5 指向我们的网站，问一句我们是否容易受到类似 KindaRails2Shell 的攻击。
这世道真是活得太精彩了。
- tyre
这篇帖子完全可以缩短到原来的 10%：
- 有个漏洞发了补丁
- 我们给客户端打上了补丁
- 补丁发布八小时内就出现了实时利用
- Rails 团队被迫提前公布技术细节，因为 POC（概念验证）的出现让保密期变得毫无必要
- comrade1234
要触发这个漏洞，你的 Rails 服务器上非得运行着 Matlab 吗？
- jeremyjh
写得不错，Claude。
- onemoresoop
这个网站在移动端上的排版真的很奇怪，我只能看到两行文字，其余部分都被一个巨大的横幅挡住了。我用的是 iOS。还有其他人遇到这个问题吗，还是就我一个人？