AI 요약
2026년 7월 30일, Ruby on Rails에서 Active Storage의 이미지 처리 과정을 통해 원격 코드 실행(RCE)이 가능한 심각한 취약점 CVE-2026-66066(일명 KindaRails2Shell)이 발견되어 긴급 패치가 발표되었습니다. 이 취약점은 GMO Flatt Security와 Ethiack 연구팀이 독립적으로 발견했으며, Rails 6.0.0부터 8.1.3까지 영향을 미칩니다. 특히 Rails 7.0 이상에서는 기본 구성에서도 공격이 가능하며, libvips를 사용하는 환경이 주요 대상입니다. 근본적인 해결책은 Rails 7.2.3.2, 8.0.5.1, 8.1.3.1로 업데이트하는 것이며, WAF만으로는 충분한 보호가 어렵습니다.
핵심 포인트
- 취약점명: CVE-2026-66066 (KindaRails2Shell), Active Storage 변형 처리 과정에서 발생
- 영향 범위: Rails 6.0.0~6.1.7.10, 7.0.0~7.2.3.1, 8.0.0~8.1.3
- 발견자: GMO Flatt Security의 RyotaK, Ethiack의 André Baptista, Bruno Mendes, Castilho
- 권장 조치: Rails 7.2.3.2, 8.0.5.1, 8.1.3.1로 즉시 업데이트
향후 전망
- AI를 활용한 PoC(개념 증명 코드)가 수시간 내에 제작될 가능성이 높아 신속한 대응이 필수적
- libvips 8.13 이상에서는 VIPS_BLOCK_UNTRUSTED 환경변수 설정으로 완화 가능