João Miguel Mesquita
Uma equipa de investigadores da Ethiack, empresa de cibersegurança com sede em Coimbra, identificou uma vulnerabilidade de execução remota de código na Ruby on Rails, uma estrutura de desenvolvimento web de código aberto utilizada em mais de meio milhão de aplicações.
Apelidada de KindaRails2Shell, a falha podia ser explorada para ler ficheiros armazenados nos sistemas, introduzir código malicioso e, num cenário de ataque bem-sucedido, assumir o controlo dos servidores afetados.
A vulnerabilidade foi classificada com uma pontuação de gravidade de 9,5 e recebeu a referência CVE-2026-66066.
A execução remota de código é uma das categorias mais críticas de falhas de segurança. Na prática, permite que um atacante envie instruções para um sistema à distância, sem necessitar de acesso físico ao servidor e, dependendo das permissões disponíveis, execute operações que deveriam estar reservadas aos administradores.
A falha encontrava-se no componente de processamento de imagens utilizado por defeito pela Ruby on Rails. Isso significava que uma funcionalidade comum, como o carregamento de uma fotografia de perfil, de um avatar ou de uma miniatura, podia transformar-se num ponto de entrada para um ataque.
As aplicações vulneráveis podiam ficar expostas sempre que um utilizador carregava uma imagem através do respetivo site ou serviço digital.
A investigação foi conduzida por uma equipa liderada por André Baptista, cofundador e diretor de tecnologia da Ethiack. Depois de confirmar a vulnerabilidade, a empresa comunicou a descoberta de forma reservada à equipa responsável pela Ruby on Rails, permitindo que fossem preparadas correções antes da divulgação pública dos detalhes técnicos.
Este processo, habitualmente designado por divulgação responsável, procura reduzir o intervalo entre a descoberta de uma falha e a disponibilização de uma solução. O objetivo é evitar que informação técnica suficiente para reproduzir o ataque seja tornada pública enquanto as organizações ainda não dispõem de mecanismos para proteger os seus sistemas.
A Ethiack participou também no processo de correção coordenada, apoiando a validação e o teste das atualizações destinadas às organizações potencialmente afetadas. O trabalho combinou especialistas humanos com sistemas de inteligência artificial utilizados na análise da vulnerabilidade e no apoio à resposta técnica.
As correções críticas já foram lançadas. No entanto, a atualização da Ruby on Rails poderá não eliminar, por si só, todas as situações de exposição.
Algumas organizações terão também de atualizar separadamente uma biblioteca externa responsável pelo processamento das imagens.
Esta dependência introduz um processo de remediação com várias etapas. Uma aplicação pode, por isso, apresentar a versão corrigida da Ruby on Rails e continuar vulnerável caso mantenha uma versão desatualizada do componente de processamento de imagens instalado no servidor.
Para os responsáveis de segurança, desenvolvimento e operações, este caso demonstra a importância de analisar toda a cadeia de dependências de uma aplicação, e não apenas a plataforma principal. Bibliotecas externas, módulos e componentes integrados podem conservar vulnerabilidades mesmo depois de o software central ter sido atualizado.
As organizações devem confirmar não apenas a instalação da correção principal, mas também as versões das bibliotecas associadas e o resultado dos testes realizados após a atualização.
A Ethiack disponibilizou informação técnica adicional sobre a vulnerabilidade, bem como orientações para identificar as implementações afetadas e executar as diferentes etapas de correção.
