Ruby on Rails lanzó parches para una vulnerabilidad crítica (CVE-2026-66066) en Active Storage que permite a atacantes leer archivos arbitrarios y secretos del servidor mediante la carga de imágenes manipuladas. El fallo afecta a versiones desde Rails 6.0 hasta 8.1 que utilicen libvips, pudiendo derivar en la ejecución remota de código. Se recomienda actualizar a las versiones corregidas y rotar todas las credenciales y claves secretas del sistema.

Se ha detectado una vulnerabilidad crítica de seguridad en Ruby on Rails Active Storage (CVE-2026-66066). Este fallo permite que atacantes no autenticados lean archivos sensibles del servidor y, potencialmente, logren la ejecución remota de código. El problema afecta específicamente a aplicaciones que utilizan libvips para procesar variantes de imágenes y aceptan subidas de usuarios no confiables, poniendo en riesgo datos confidenciales como credenciales en la nube y la secret_key_base.

RubyGems, el gestor de paquetes de Ruby, ha suspendido temporalmente los registros de nuevas cuentas debido a un ataque malicioso masivo que afecta a cientos de paquetes. Mend.io, la empresa de seguridad encargada, trabaja para contener el incidente, cuyos autores aún son desconocidos. Este evento ocurre en un contexto de creciente riesgo en las cadenas de suministro de software de código abierto.

Se ha identificado una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en un sistema de procesamiento de trabajos en segundo plano de Ruby. La falla proviene de una deserialización insegura de JSON, que permite que datos no confiables se transformen en objetos ejecutables. Este problema resalta los peligros ocultos de la deserialización en entornos Ruby, donde una sola línea de código puede llevar a un compromiso