チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「自社サービスのフレームワーク脆弱性対応、どこまで追えてるか心配…」
「うちのRailsアプリ、画像アップロード機能使ってるんだけど大丈夫？」
チップスボス、Ruby on Railsにまたやばい脆弱性が出たって聞きました！なんでしゅか？
ボスああ、KindaRails2Shellだな。CVSS v4スコア9.5の重大脆弱性で、JPCERTも緊急注意喚起を出している。認証なしでサーバの機密ファイルを読み取られる可能性があるぞ。
フレームワークの機能を悪用した本脆弱性は、Railsを使うシステム管理者にとって見逃せない案件だ。
この記事を読めば、KindaRails2Shellの攻撃の仕組みと今すぐ取るべき対応を把握できる。
オススメ求人・フリーランス案件
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
2026年7月30日、JPCERT/CCはRuby on Railsの画像処理連携機能「Active Storage」に、CVSS v4スコア9.5の深刻な脆弱性（CVE-2026-66066）が存在すると注意喚起を発した。
この脆弱性は「KindaRails2Shell」と命名され、EthiackセキュリティチームとGMO Flatt SecurityのRyotaKが独立に発見した。
世界で50万超のWebサービスに影響するとされ、すでにPoCコード（概念実証コード）がGitHub上で公開されている。
JPCERT/CCはWAFによる緩和は「不十分」と明言しており、パッチの適用が唯一の根本的対策だ。
影響を受けるバージョンと修正済みバージョンは以下の通りだ。
| 系列 | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| 7.2系 | 7.2.3.1以下（libvips使用時） | 7.2.3.2 |
| 8.0系 | 8.0.0〜8.0.5.0 | 8.0.5.1 |
| 8.1系 | 8.1.0〜8.1.3.0 | 8.1.3.1 |
なお、7.1系以前はすでにEOL（サポート終了）となっており、公式パッチは提供されない。
チップスまずは、bundle exec rails -v って打てばいいんでしゅか？
ボスそうだな。まず自分のバージョンを確認してから、GemfileのRailsを修正版に上げてbundle updateを走らせるんだ。
本脆弱性の核心は、Active Storageがlibvipsにユーザーアップロードファイルを無検証のまま渡してしまう点にある。
libvipsは画像のバリアント生成（リサイズ・フォーマット変換）を担うC言語製の高速ライブラリだ。
問題は、libvipsが細工されたファイルに対して「ファイル内容を参照するローダー機能」を自動発動させてしまう点にある。
攻撃者が機密情報を窃取するまでの流れは以下のとおりだ。
任意ファイルを参照させるSVGなどを、画像アップロードフォームから送信する。
Active Storageのバリアント処理がlibvipsにファイルを渡し、/etc/passwdやRailsのシークレットファイルを読み込んで返す。
応答からsecret_key_base等を取得し、管理者権限のセッションを偽造。リモートコード実行（RCE）へ発展する。
特に深刻なのは「認証不要」である点だ。匿名ユーザーでも攻撃が成立しうる。
チップスボス、secret_key_baseが漏れたらどうなるんでしゅか？
ボスRailsはセッションクッキーをsecret_key_baseで署名しているんだ。これが漏洩すると、攻撃者が管理者権限のセッションを偽造できる。コード実行の一歩手前だな。
KindaRails2Shell（CVE-2026-66066）は、Railsの画像処理機能を悪用した認証不要の重大脆弱性だ。
修正版（7.2.3.2、8.0.5.1、8.1.3.1）への即時アップグレードと、漏洩した可能性のある全シークレット（secret_key_base、マスターキー、DBパスワード、APIトークン等）のローテーションが必要だ。
libvips 8.13以上への更新も必須で、旧バージョンではActive Storageが起動を拒否するよう変更された。
ボスフレームワーク側の機能が踏み台になるパターンは、見落としがちだからこそ怖いな。ライブラリの自動挙動をしっかり把握しておくことが大事だ。
チップスは、はいでしゅ！Gemfile.lockも確認してきまっしゅ！
オススメ求人・フリーランス案件
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
