A Ethiack descobriu uma vulnerabilidade crítica de execução remota de código no Ruby on Rails, uma framework que suporta mais de meio milhão de aplicações web em todo o mundo, incluindo algumas das maiores plataformas digitais.

A Ethiack descobriu uma falha de execução remota de código no Ruby on Rails, a framework web de código aberto que suporta mais de meio milhão de aplicações. A vulnerabilidade, apelidada de KindaRails2Shell, foi detetada no processador de imagens usado por definição pelo Active Storage, o componente da framework responsável por gerir ficheiros carregados pelos utilizadores.

Não perca nenhuma notícia importante da atualidade de tecnologia e acompanhe tudo em tek.sapo.pt

Segundo os investigadores da empresa de cibersegurança com sede em Coimbra, a falha era espoletada sempre que alguém carregava uma imagem num site construído com esta tecnologia, como uma simples fotografia de perfil, um avatar ou uma miniatura. Isto tornava-a especialmente perigosa, pois bastava a funcionalidade de upload de imagens estar ativa, sem necessitar sequer de autenticação, para um atacante conseguir ler ficheiros do servidor e, a partir daí, executar código malicioso e assumir o controlo total do sistema.

Pela sua gravidade, a vulnerabilidade recebeu uma pontuação de 9,5 em 10 na escala CVSS e um identificador oficial com o código CVE-2026-66066. Esta vulnerabilidade afeta todas as versões do Ruby on Rails a partir das versões 7.x, que desde 2022 usam esta biblioteca de processamento de imagens como opção pré-definida. Esta descoberta acabaria por não ser feita de forma isolada. A mesma falha acabou por ser identificada, dias depois e de forma independente, por um investigador da japonesa GMO Flatt Security.

Esta situação levou a que as duas equipas acabassem por se coordenar entre si e com os responsáveis do Ruby on Rails num processo de correção global. As atualizações críticas já foram lançadas, mas a Ethiack alerta que aplicá-las pode não ser suficiente. Muitas aplicações podem também precisar de ser atualizadas em separado da biblioteca de processamento de imagens de terceiros. Organizações que possam ter sido expostas devem considerar substituir as chaves e as credenciais que atacantes poderiam ter conseguido ler a partir do servidor.

Citado em comunicado, André Baptista sublinha que “esta era uma vulnerabilidade crítica que colocava até meio milhão de aplicações web em risco sempre que um utilizador carregava uma imagem”. O responsável destacou o papel da Ethiack, que graças à criatividade e competência da sua equipa de hackers humanos equipados com ferramentas como agentes de IA, prometem ajudar “equipas de cibersegurança a lidar com emergências como esta, em que a prioridade é a velocidade, a agilidade e a responsabilidade na resolução do problema.“

Até ao momento não há indícios de exploração ativa da falha. Contudo, tendo em conta o pormenor técnico completo do ataque, este continua a ser verificado discretamente pelas equipas envolvidas, precisamente para dar tempo às organizações afetadas para aplicarem as correções antes que sejam publicados todos os detalhes públicos da vulnerabilidade.

Assine a newsletter do TEK Notícias e receba todos os dias as principais notícias de tecnologia na sua caixa de correio.