セキュリティ情報2026年11月11日（水）
GitHub Enterprise Server が Active Storage を更新、CVE-2026-66066 に対応
GitHub は自社運用版 Enterprise Server の各系列について、組み込み Active Storage を更新しました。対象環境を把握し、該当する修正版を適用してください。
本文
GitHub は 2026 年 11 月 10 日、Enterprise Server に組み込まれた Ruby Active Storage の CVE-2026-66066 に対応する更新を公開しました。2026 年 7 月 29 日公開の Rails 上流の公告による CVSS v4.0 基本値は 9.5 です。GitHub はファイル読み取りとリモートコード実行の脆弱性に対応したと説明していますが、Enterprise Server 固有の攻撃経路や設定条件はリリースノートに明記していません。
自社運用のソースコード基盤には非公開リポジトリ、CI/CD の認証情報、デプロイ先への接続が含まれます。プロセスから読めるファイルが漏えいすれば、それらにも影響が及ぶおそれがあります。実際のアクセス経路と権限を確認してください。
- 01
アプリに到達
影響を受ける Rails 設定で信頼できない画像を受け付ける
- 02
細工された内容を処理
上流公告は libvips の安全でない操作を説明
- 03
ファイル読み取り
プロセスが読めるファイルや認証情報が漏れるおそれ
- 04
影響が拡大
漏えいした認証情報の権限に応じて追加侵害につながるおそれ
対象と修正版、成立条件
- GitHub は 2026 年 11 月 10 日に 3.19.15、3.20.11、3.21.9、3.22.4 を公開しました。導入済みのバージョン、サポート状況と更新手順を各系列の公式リリースノートで確認し、その他の系列は GitHub に確認してください。
- Rails 上流の公告では、Active Storage の画像処理に libvips を使い、信頼できない利用者からの画像アップロードを受け付けるアプリケーションが対象です。Active Storage の修正版は 7.2.3.2、8.0.5.1、8.1.3.1 で、libvips 8.13 以上が必要です。これは Rails 上流の条件であり、GHES での具体的な到達・悪用経路を示すものではありません。
- 01
把握と入口の制限
自社運用の GHES、外部・内部の入口、レプリカ、試験環境、委託先を把握し、不要なアクセスを制限してアカウントと権限を確認します。
対応策を見る関連情報 2件
TWISA会員企業の対策
把握と入口の制限
自社運用の GHES、外部・内部の入口、レプリカ、試験環境、委託先を把握し、不要なアクセスを制限してアカウントと権限を確認します。
- 02
更新と確認
導入系列の GitHub リリースノートに従って修正版を適用し、稼働中の版を確認します。更新後に必要な独自ファイアウォール規則を再適用し、リポジトリと連携を確認します。
対応策を見る関連情報 4件
TWISA会員企業の対策
更新と確認
導入系列の GitHub リリースノートに従って修正版を適用し、稼働中の版を確認します。更新後に必要な独自ファイアウォール規則を再適用し、リポジトリと連携を確認します。
- 03
ログを保全し調査
プラットフォーム、認証、リバースプロキシ、ホストのログを保全し、不審なアップロード、ファイルアクセス、トークン、管理変更、ビルドを関連付けて確認します。
対応策を見る関連情報 2件
TWISA会員企業の対策
ログを保全し調査
プラットフォーム、認証、リバースプロキシ、ホストのログを保全し、不審なアップロード、ファイルアクセス、トークン、管理変更、ビルドを関連付けて確認します。
- 04
影響を抑えて復旧
漏えいを示す証拠がある場合、証拠を保全し必要に応じて隔離、アクセス可能な秘密情報を更新します。リポジトリ、パイプライン、デプロイ先を調査し、信頼できるバックアップから復旧して再検証します。
対応策を見る関連情報 2件
TWISA会員企業の対策
影響を抑えて復旧
漏えいを示す証拠がある場合、証拠を保全し必要に応じて隔離、アクセス可能な秘密情報を更新します。リポジトリ、パイプライン、デプロイ先を調査し、信頼できるバックアップから復旧して再検証します。
アプライアンス、入口、アカウント、ランナー、リポジトリと接続先を把握
許可された業務通信のみを通し、各層で防御を行います。
- 01
入口
利用者と管理インターフェース
アクセス制限公開範囲と認証を確認
- 02
Enterprise Server
自社運用環境とレプリカ
更新公式修正版を適用し稼働版を確認
- 03
デリバリー先
リポジトリ、トークン、ランナー
影響の限定権限とビルド・デプロイ経路を制限
各層のログと通信データを集約し、監視と対応に活用します。
- 監視と復旧プラットフォーム、認証、ホストのログを関連付け、証拠保全と復旧を検証します。
能動的な検査と再検証
許可のある範囲で資産探索、脆弱性診断、侵入・API テスト、攻撃シミュレーションと再検証を行い、内部、委託先、組み込みコンポーネントも対象にします。WAF 使用時はリクエスト、アラート、実際の遮断とバックエンドの結果を分けて確認します。Web リクエストの確認はホストや内部ネットワークの調査の代わりにはなりません。
TWISA 会員ソリューション
対応: 把握と入口の制限
自社運用の GHES、外部・内部の入口、レプリカ、試験環境、委託先を把握し、不要なアクセスを制限してアカウントと権限を確認します。
対応: ログを保全し調査
プラットフォーム、認証、リバースプロキシ、ホストのログを保全し、不審なアップロード、ファイルアクセス、トークン、管理変更、ビルドを関連付けて確認します。
対応: 影響を抑えて復旧
漏えいを示す証拠がある場合、証拠を保全し必要に応じて隔離、アクセス可能な秘密情報を更新します。リポジトリ、パイプライン、デプロイ先を調査し、信頼できるバックアップから復旧して再検証します。
公式情報
- GHES 3.19 release notes
- GHES 3.20 release notes
- GHES 3.21 release notes
- GHES 3.22 release notes
- Rails advisory, CVE-2026-66066
製品やサービスの詳細は、各会員へお問い合わせください。
通報更新日：2026/11/11。製品サポートと修正状況は各開発元の最新情報をご確認ください。