Ruby & Rails Weekly: KindaRails2Shell Exploited, Ractor Rails

CVE-2026-66066, ban đầu chỉ là một proof‑of‑concept, đã bắt đầu được khai thác tích cực từ ngày 30 tháng 8, ảnh hưởng đến các ứng dụng Ruby on Rails sử dụng thư viện KindaRails2Shell. Nguyên nhân kỹ thuật là lỗi xác thực đầu vào không đủ trong KindaRails2Shell cho phép kẻ tấn công chèn lệnh shell tùy ý và thực hiện mã từ xa. Hệ quả là các hệ thống chạy phiên bản lỗi có thể bị kiểm soát hoàn toàn, dẫn đến rò rỉ dữ liệu và mất kiểm soát máy chủ, đồng thời bản tin cũng chỉ ra các tính năng mới như Ractor-ready Rails, ZJIT nội tuyến các đường dẫn nhanh của garbage collection, Agents on Rails và mô hình thử nghiệm GPT-6 Astra. Bài học cần rút ra là luôn cập nhật các gem bên thứ ba, theo dõi nguồn cấp thông tin CVE để phát hiện nhanh quá trình từ PoC sang khai thác, và cân nhắc áp dụng các cải tiến về đồng thời và JIT như Ractor và ZJIT để tăng cường cả bảo mật và hiệu suất.