Kritische Sicherheitslücke in Ruby on Rails

Das Entwickler-Team des Web Application Frameworks Ruby on Rails veröffentlichte am 29. Juli 2026 eine Warnmeldung zur kritischen Sicherheitslücke CVE-2026-66066 (EUVD-2026-51270) in der Software. CVE-2026-66066 mit einem CVSS-Score von 9.5/10 ermöglicht Angreifenden Remote Code Execution (RCE).

Betroffen sind folgende Versionen von Ruby on Rails:

• bis vor Version 7.2.3.2

• Version 8.0 bis vor Version 8.0.5.1

• Version 8.1 bis vor Version 8.1.3.1

• Ruby on Rails libvips bis vor Version 8.13

Empfehlung

Installieren Sie umgehend und je nach installierter Produktinstanz eine der folgenden Versionen des WAF Ruby on Rails, die die Lücke schließen:

• Ruby on Rails 7.2.3.2

• Ruby on Rails 8.0.5.1

• Ruby on Rails 8.1.3.1

• Ruby on Rails libvips 8.13

Weitere Informationen

Warnmeldung des Entwickler-Teams (engl.)

Warnmeldung auf GitHub (engl.)

Schwachstellenmeldung des BSI

Bericht von The Hacker News (engl.)