今週は3本のニュースを取り上げます。まず、Webアプリ開発で広く使われるRuby on Railsのファイル管理機能「Active Storage」に、認証なしでサーバー内のファイルを読み取られ、遠隔でコードを実行されるおそれのある緊急脆弱性（CVE-2026-66066、CVSS9.5）が公開されました。自社サービスやシステムがRails製なら至急の更新が必要です。あわせて、引越し業者を襲った「データ削除型」ランサム恐喝と、新エフエイコムのランサム被害調査で判明した取引先情報の漏えい可能性を取り上げます。各ニュースの「推奨対応」を確認してください。
NEWS 01
Ruby on Rails・GitHub（CNA） ｜ 2026年7月29日
Ruby on Rails「Active Storage」に緊急脆弱性、認証不要でファイル読み取り・遠隔コード実行のおそれ（CVE-2026-66066）
Ruby on Railsの開発チームは2026年7月29日、ファイル添付・画像処理を担う標準機能「Active Storage」に、深刻な脆弱性（CVE-2026-66066）があるとして修正版を公開しました。脆弱性を採番したGitHub（CNA）は、深刻度を示すCVSS v4基本値を最大クラスの9.5（緊急）と評価しています。
問題は、Active Storageがアップロードされた画像を処理する際、画像処理ライブラリ「libvips」に安全でない読み込み機能を無効化しないまま渡していた点にあります。この結果、認証されていない攻撃者でも、細工したファイルをアップロードして画像の変換（バリアント生成）を発生させることで、サーバー上の任意のファイルを読み取れてしまいます。読み取られる対象には、アプリの暗号鍵（secret_key_base）や外部サービスの認証情報といった重大な秘密情報が含まれ、そこから遠隔コード実行（RCE）にまでつながるおそれがあります。
影響を受けるのは、標準構成のactivestorage 7.2.3.2より前、8.0系の8.0.5.0以前、8.1系の8.1.3.0以前です（6.x系はvipsプロセッサを手動で有効化した場合のみ該当）。対策は、7.2.3.2／8.0.5.1／8.1.3.1のいずれかへの更新です。あわせて、libvipsを8.13以上にすること、そしてアプリが読み取れるすべての秘密情報（鍵・認証情報）をローテーション（再発行）することが推奨されています。攻撃の詳細な技術情報は、運用者が更新に集中できるよう当面は伏せられ、完全公開は2026年8月28日を予定しています。
▌中小企業への影響
自社のWebサービス、予約システム、社内ツールなどがRuby on Railsで作られており、画像やファイルのアップロード機能を持つ場合が直接の対象です。認証が不要なため、ログイン前の外部からでも攻撃が成立し得る点が危険です。委託先やSaaSベンダーにシステム開発・運用を任せている場合も、そのシステムがRails製なら影響を受ける可能性があります。「うちは開発していないから無関係」とは限りません。
▌推奨対応
- 自社サービス・社内システムがRuby on Rails製か、Active Storageで画像・ファイルを扱っているかを確認する
- 該当する場合、Rails 7.2.3.2／8.0.5.1／8.1.3.1のいずれか対応版へ更新する
- 画像処理ライブラリlibvipsを8.13以降に更新する
- 更新後、secret_key_baseや外部サービスの認証情報など、アプリが参照する秘密情報を再発行（ローテーション）する
- 開発・運用を外部委託している場合は、対応状況と対応予定を委託先に確認する
NEWS 02
ネットワーク引越センター・ScanNetSecurity ｜ 2026年7月9日公表
引越し業者にデータ削除型ランサム恐喝、顧客情報の滅失・漏えいのおそれ
引越しサービス「ネットワーク引越センター」を運営する株式会社ネットワークジャパンは2026年7月9日、顧客管理システムへの第三者による不正アクセスにより、顧客の個人情報について滅失・漏えいのおそれがあると公表しました。この事案はランサムウェア攻撃とされています。
同社によると、2026年7月2日午前2時38分ごろ、第三者が顧客管理システムのデータベースへ不正アクセスし、データベースが削除される被害が発生しました。攻撃者はデータベースそのものを削除したうえで、復旧と引き換えに暗号資産を要求する文書を設置していたと報じられています。同社は同日午前7時30分ごろにシステム障害を認知し、運用委託先のシステム会社と連携して調査・復旧に着手したとしています。漏えい・滅失のおそれがある情報には、引越し見積もりに関する氏名・住所・電話番号・メールアドレス・引越し関連情報などが含まれます。
従来のランサムウェアは「データを暗号化して人質に取る」手口が主流でしたが、本件のようにデータを削除したうえで金銭を要求する「データ削除型」の恐喝は、バックアップがなければ復旧そのものが不可能になる点で、より破壊的です。
▌中小企業への影響
顧客情報をデータベースやクラウド上の顧客管理システム（CRM・予約・見積もりシステムなど）で一元管理している事業者にとって、決して他人事ではありません。データベースを削除されると、身代金を払っても戻る保証はなく、事業の継続そのものが危うくなります。深夜帯に侵入されている点も、常時稼働のシステムを持つ中小企業には共通するリスクです。
▌推奨対応
- 顧客管理システムのバックアップを、本番環境から切り離した場所（オフライン／別クラウド）に定期取得しているか確認する
- バックアップから実際に復元できるか、復旧手順を一度テストしておく
- データベースや管理システムに、インターネット側から直接ログインできる状態になっていないか点検する
- 管理者アカウントのパスワードを強固にし、多要素認証を有効化する
- 不審なシステム障害を検知したら、すぐに切り離せる連絡・対応体制（委託先を含む）を整えておく
NEWS 03
新エフエイコム・ScanNetSecurity ｜ 2026年7月21日公表
新エフエイコム、ランサム被害の調査結果を公表 取引先の個人情報漏えいの可能性
新エフエイコム株式会社は2026年7月21日、2026年4月に発生したランサムウェアによるシステム障害について、外部専門機関によるフォレンジック調査の結果を公表しました。調査の結果、第三者がアカウント情報を窃取したうえで同社ネットワークへ不正侵入していたことが判明したとしています。
あわせて、攻撃者に閲覧または取得された可能性のあるファイルも特定されました。その中には、一部取引先の従業員に関する個人情報や、取引関連情報が含まれていた可能性があります。個人情報としては氏名・勤務先名・所属部署名が、取引関連資料としては図面・仕様書・契約書・見積書などが対象に挙げられており、同社は専用窓口で問い合わせを受け付けています。
この事案の教訓は、被害が自社だけにとどまらない点です。攻撃者はまず正規のアカウント情報（IDとパスワード）を盗み、それを使って正面から侵入していました。侵入後に持ち出されたのは、自社の情報だけでなく取引先から預かった情報でもあり、一社の被害が取引網全体へ波及する構図が見えます。
▌中小企業への影響
取引先と図面・仕様書・見積書などをやり取りする製造業・建設業・受託開発などでは、他社に預けた自社情報が、その会社経由で漏れるリスクを負っています。逆に、自社が侵入されれば取引先の情報まで流出させ、取引先への説明責任や信用の失墜につながります。侵入の起点が「盗まれたアカウント情報」だった点も重要で、認証の甘さが直接の入り口になっています。
▌推奨対応
- 従業員アカウントに多要素認証を導入し、パスワードの使い回しを禁止する
- 取引先とやり取りした図面・契約書・見積書などの機密ファイルの保管場所とアクセス権を棚卸しする
- 不要になった取引関連データを放置せず、保管期間を過ぎたものは削除する
- 万一の情報漏えい時に、どの取引先に何を通知すべきか把握できるよう、預かり情報の管理台帳を整備する
- VPNやリモート接続の認証情報が漏れていないか、ログインの異常を監視する仕組みを検討する
編集部まとめ
今週の最優先はRuby on RailsのActive Storage脆弱性（CVE-2026-66066）です。認証不要でファイル読み取りからコード実行につながる緊急度の高い内容で、自社サービスや委託システムがRails製なら、対応版への更新・libvipsの更新・秘密情報の再発行までをセットで進めてください。
残る2本はいずれもランサムウェアです。引越し業者の事案は「データ削除型」の恐喝で、バックアップの有無が事業存続を分けます。新エフエイコムの事案は、盗まれたアカウント情報を起点に取引先の情報まで流出した可能性を示しました。多要素認証と、預かり情報の棚卸し・削除を今週の宿題にしてください。来週号もお読みください。
参考情報
- Ruby on Rails「Rails Versions 7.2.3.2, 8.0.5.1, and 8.1.3.1 have been released!」（2026年7月29日）
- Ruby on Rails Discussions「[CVE-2026-66066] Possible arbitrary file read and remote code execution in Active Storage variant processing」（2026年7月29日）
- The Hacker News「Critical Rails Flaw Could Let Unauthenticated Attackers Read Server Files via Image Uploads」（2026年7月）
- ScanNetSecurity「ネットワークジャパンにランサムウェア攻撃、復旧と引き換えに暗号資産を要求する文書を設置」（2026年7月28日）
- 株式会社アクト「引越し業者を襲った『データ削除型』の恐喝――ネットワーク引越センターが顧客情報の滅失・漏えいを公表」（2026年7月17日）
- ScanNetSecurity／セキュリティ対策Lab「新エフエイコム、ランサムウェアによるサイバー攻撃で取引先 情報漏えいの恐れ」（2026年7月21日）
secure
