一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月30日、Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性について発表した。影響を受けるシステムは以下の通り。
activestorage 7.2.3.2より前のバージョン
activestorage 8.0から8.0.5.1より前のバージョン
activestorage 8.1から8.1.3.1より前のバージョン
現地時間7月29日に、Ruby on RailsのActive Storageにおけるリモートコード実行につながる脆弱性（CVE-2026-66066、通称「KindaRails2Shell」）に関する情報が公表されている。本脆弱性が悪用された場合、遠隔の第三者が細工したファイルをアップロードすることによって、サーバ上のファイルや認証情報を読み取り、リモートコード実行に至る可能性がある。
なお、JPCERT/CCでは、本脆弱性に関するエクスプロイトコードの公開を確認しており、今後、本脆弱性を悪用する攻撃が広く行われる可能性があるため、開発者のアドバイザリを参考に、本脆弱性を修正する最新のアップデートを適用するよう呼びかけている。
また、JPCERT/CCでは、エクスプロイトコードがすでに公開されていることから、影響を受ける可能性がある環境では、侵害を受けたことを前提とした対応が必要としており、読み取り可能なすべての認証情報を漏えい済みとして扱い、変更することを推奨している。
