內文
GitHub 於 2026/11/10 發布 GitHub Enterprise Server 安全更新，更新內嵌 Ruby Active Storage 元件，以修補 CVE-2026-66066 涉及的檔案讀取與遠端程式碼執行風險。企業若自架程式碼平台或以 Rails 處理使用者上傳圖片，應盤點相關部署與執行環境，優先依原廠指引更新。平台可連到程式碼、部署服務或憑證時，應一併檢視這些信任關係。
Rails 於 2026/07/29 公開此漏洞，官方公告列 CVSS v4.0 基準分數 9.5。此分數評估的是上游 Active Storage 漏洞，不代表每個下游產品都具有相同利用路徑。GitHub 版本說明確認已更新元件，沒有細列 GitHub Enterprise Server 內的具體觸發路徑與先決條件。
- 01
未信任上傳
應用允許未信任者上傳圖片或可達 direct upload 端點
- 02
圖片處理
Active Storage 使用 libvips 且啟用不安全的檔案載入器
- 03
讀取檔案
特製檔案可能使處理程序讀取其可存取的檔案與機密
- 04
擴大影響
外洩機密可能使攻擊者進一步取得程式碼執行能力或存取其他服務
受影響版本、必要條件與修補
上游公告列出 Active Storage 低於 7.2.3.2、8.0 系列低於 8.0.5.1，以及 8.1 系列低於 8.1.3.1；修補版分別為 7.2.3.2、8.0.5.1、8.1.3.1。上游應用須同時使用 libvips 處理 Active Storage 圖片並接受未信任者的上傳；JPCERT/CC 另指出不安全的 libvips 載入器須啟用，且 direct upload 端點即使沒有另設上傳介面也可能可達。依 Rails 公告，更新時 libvips 至少需 8.13。
GitHub 在 2026/11/10 的版本說明指出，Enterprise Server 3.19.15、3.20.11、3.21.9 與 3.22.4 已更新該元件。請依實際分支及原廠支援狀態選擇修補版，並檢查備援、測試、委外及相關容器映像。GitHub 尚未在該版本說明逐一列出舊版的受影響範圍或觸發條件，應以原廠最新指引為準。
- 01
盤點與限制入口
盤點自架及委外 GitHub Enterprise Server 與其他 Rails 系統，確認版本、對外入口、管理來源及上傳功能；收斂管理與服務入口並確認存取權限。
看看能怎麼應對2項資源
TWISA 會員方案
盤點與限制入口
盤點自架及委外 GitHub Enterprise Server 與其他 Rails 系統，確認版本、對外入口、管理來源及上傳功能；收斂管理與服務入口並確認存取權限。
- 02
依原廠更新並確認設定
GHES 依所屬版本分支套用原廠更新，檢視升級後防火牆規則；自行維護的 Rails 應更新 Active Storage，並依上游指引檢查 libvips 版本及套件相依。
看看能怎麼應對5項資源
TWISA 會員方案
依原廠更新並確認設定
GHES 依所屬版本分支套用原廠更新，檢視升級後防火牆規則；自行維護的 Rails 應更新 Active Storage，並依上游指引檢查 libvips 版本及套件相依。
- 03
檢視身分與紀錄
保全應用程式、存取、主機、憑證與身分系統紀錄，檢視可疑上傳、異常請求、帳號或存取權限變更；依實際環境確認可觀測範圍。
看看能怎麼應對2項資源
TWISA 會員方案
檢視身分與紀錄
保全應用程式、存取、主機、憑證與身分系統紀錄，檢視可疑上傳、異常請求、帳號或存取權限變更；依實際環境確認可觀測範圍。
- 04
輪替敏感資訊並復原
依 Rails 建議輪替應用程式可讀取的機密，盤點連接儲存、資料庫及部署服務的憑證；若有入侵跡象，保全證據、隔離受影響系統並從可信備份復原。
看看能怎麼應對2項資源
TWISA 會員方案
輪替敏感資訊並復原
依 Rails 建議輪替應用程式可讀取的機密，盤點連接儲存、資料庫及部署服務的憑證；若有入侵跡象，保全證據、隔離受影響系統並從可信備份復原。
盤點對外及內網的開發平台、Rails 服務、上傳路徑、相依元件與服務憑證
業務連線依授權放行，各層分別落實防護
- 01
服務入口
平台與應用程式上傳介面
限制可達範圍限制管理入口及未信任的上傳路徑
- 02
平台與元件
GHES、Rails、Active Storage 及 libvips
更新並核對依產品和上游官方指引更新並檢視設定
- 03
內部資產
程式碼、工作流程及連接服務
保護存取檢視服務權限、工作流程及憑證
各層日誌與流量，送往監控與應變流程
- 監控、調查與復原保留上傳、主機與身分紀錄，檢視異常並驗證可信復原。
主動測試與複驗
經授權後進行資產探測、弱點掃描、滲透測試、API 測試與攻擊模擬，涵蓋內部、委外及容器部署，更新後複測。若使用 WAF，分別核對網站請求、告警、實際阻擋與後端結果；內網、主機及憑證風險另行檢視，WAF 不能取代元件更新。
TWISA 會員方案
對應「盤點與限制入口」
盤點自架及委外 GitHub Enterprise Server 與其他 Rails 系統，確認版本、對外入口、管理來源及上傳功能；收斂管理與服務入口並確認存取權限。
對應「檢視身分與紀錄」
保全應用程式、存取、主機、憑證與身分系統紀錄，檢視可疑上傳、異常請求、帳號或存取權限變更；依實際環境確認可觀測範圍。
對應「輪替敏感資訊並復原」
依 Rails 建議輪替應用程式可讀取的機密，盤點連接儲存、資料庫及部署服務的憑證；若有入侵跡象，保全證據、隔離受影響系統並從可信備份復原。
官方來源
- GitHub Enterprise Server 3.19.15
- GitHub Enterprise Server 3.20.11
- GitHub Enterprise Server 3.21.9
- GitHub Enterprise Server 3.22.4
- Rails：Active Storage 官方安全公告
- JPCERT/CC：必要條件及侵害檢視指引
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
通報更新日期：2026/11/11。產品支援與修補狀態以原廠最新資料為準。