【セキュリティニュース】2026年8月2日号｜Ruby on Rails緊急脆弱性CVE-2026-66066・引越し業者のデータ削除型ランサム・キャネット不正アクセス調査完了

今日は3本を取り上げます。Webアプリ開発で広く使われるRuby on Railsに、認証なしでサーバー内のファイルを読み取られる緊急度の高い脆弱性（CVE-2026-66066）が判明し、JPCERT/CCも注意喚起しました。自社サイトやSaaSがRails製の場合は影響を受けます。国内では引越し大手のネットワーク引越センターが「データを暗号化せず削除して身代金を要求する」新手のランサム被害を公表、消費者金融のキャネットは不正アクセスの調査を完了し原因が判明しました。いずれも「Webサービスの守り方」に直結する事案です。各ニュースの推奨対応を確認してください。

Ruby on Railsに緊急脆弱性、認証なしでサーバー内ファイルを読み取られる恐れ（CVE-2026-66066）

WebアプリケーションのフレームワークとしてECサイトや業務システムに広く使われるRuby on Railsで、2026年7月29日、重大な脆弱性「CVE-2026-66066」が公表されました。Railsの標準機能「Active Storage」で画像を処理する際に、画像変換ライブラリ「libvips」へ安全でない設定のまま処理を渡してしまうことが原因で、CVSSスコアは9.5（緊急）とされています。

この脆弱性を悪用されると、ログイン権限を持たない攻撃者が細工した画像ファイルをアップロードし変換処理を発生させるだけで、サーバー上の任意のファイルを読み取れる恐れがあります。読み取り対象にはアプリの秘密鍵（secret_key_base）や外部サービスの認証情報が含まれ、そこからさらに遠隔でのコード実行（RCE）や連携システムへの侵入に発展する可能性が指摘されています。JPCERT/CCは、読み取られた可能性のある認証情報は「すべて漏えいしたものとみなして変更する」よう呼びかけています。

引越し業者がデータ削除型ランサム被害、顧客データベースが消失し暗号資産を要求される

引越しサービス「ネットワーク引越センター」を運営する株式会社ネットワークジャパンは2026年7月9日、顧客管理システムへの不正アクセスにより顧客の個人情報が滅失・漏えいするおそれがあると公表しました。同社によると、7月2日午前2時38分ごろに第三者が顧客管理システムのデータベースへ不正アクセスし、データベースが削除される被害が発生。同日午前7時30分ごろにシステム障害を認知し、運用委託先のシステム会社と連携して調査・復旧を進めているとしています。

この攻撃の特徴は、データを暗号化するのではなく削除したうえで、復旧と引き換えに暗号資産を要求する文書を設置していた点です。従来の「暗号化して人質に取る」ランサムウェアと目的は同じでも、破壊という手口を取るため、バックアップがなければ復元そのものができません。対象となるのは、同社に引越しの見積り・依頼・問い合わせをした顧客で、情報が滅失した期間は2025年3月26日から2026年5月14日までとされています。公表時点で、実際に情報が外部へ漏えい・悪用された事実は確認されていないとしています。

消費者金融キャネットが不正アクセス調査を完了、原因は認証管理・プログラムの脆弱性

消費者金融のキャネットは、同社ホームページ内の会員向けマイページが不正アクセスを受けた事案について、外部専門業者によるフォレンジック調査が完了したことを公表しました。調査の結果、原因は会員ページを管理するシステムの認証情報の管理、またはプログラムの脆弱性を突かれた外部からの不正アクセスであり、社員の関与はなかったと報告されています。

この事案では、氏名・住所・電話番号・勤務先情報に加え、金融機関の口座情報やマイページのログイン情報など、機微な情報が漏えいの対象となりました。漏えいの可能性がある人数は当初の公表から更新され、同社公表で10,981名分とされています。加えて、なりすましメールや不審な電話・郵便物といった二次被害も複数件確認されており、同社は対象者への個別通知、マイページのパスワード変更と多要素認証の導入、専用問い合わせ窓口の設置などの対策を実施済みとしています。

編集部まとめ

今日は3本とも「Webサービスをどう守るか」に関わる事案でした。Ruby on Railsの脆弱性（CVE-2026-66066）は認証なしで悪用され得るため、自社サイトがRails製かどうかの確認と、該当する場合の早急な更新・認証情報の再発行を最優先にしてください。ネットワーク引越センターの「データ削除型」ランサムは、身代金を払っても戻らない前提での隔離バックアップの重要性を、キャネットの事案は会員サイトへの多要素認証と脆弱性管理の必要性を、それぞれ実例で示しています。

共通する打ち手は、「使っているソフトウェアを最新に保つ」「バックアップを切り離して保管する」「認証を多要素にする」の3点です。いずれも大きな投資を必要とせず、今日から着手できる基本対策です。