Ruby on Rails Security Vulnerabilities in 2026: 9 CVEs in One Day, CVE-2026-33195 (CVSS 8.0) & Developer Hardening GuideVulnérabilités Ruby on Rails en 2026 : 9 CVE en Un Jour, CVE-2026-33195 (CVSS 8.0) & Guide de Durcissement

CVE-2026-35611 : ReDoS du Gem Addressable — L’Avertissement de Microsoft à l’Écosystème Rails

Outside of the core Rails release, Microsoft's security team published an advisory for CVE-2026-35611, a Regular Expression Denial of Service (ReDoS) in the addressable gem — one of the most widely-depended-upon Ruby libraries, used directly by Rails via Active Support and transitively by hundreds of thousands of applications through gems like faraday, httparty, and rest-client.

En dehors de la release core Rails, l'équipe sécurité de Microsoft a publié un advisory pour CVE-2026-35611, un Regular Expression Denial of Service (ReDoS) dans le gem addressable — l'une des bibliothèques Ruby les plus utilisées, employée directement par Rails via Active Support et de manière transitive par des centaines de milliers d'applications via des gems comme faraday, httparty et rest-client.

The vulnerability sits inside Addressable::Template, the class that parses URI templates like https://api.example.com/{+path}. When a template contains nested optional segments with specific wildcard combinations, the underlying regular expression engine enters catastrophic backtracking — an exponential growth in evaluation steps that completely pegs server CPU. A single HTTP request with a crafted URI can bring a Rails worker to its knees for minutes, effectively causing a denial of service.

La vulnérabilité se trouve dans Addressable::Template, la classe qui parse les templates d'URI comme https://api.example.com/{+path}. Quand un template contient des segments optionnels imbriqués avec des combinaisons spécifiques de wildcards, le moteur de regex sous-jacent entre dans un backtracking catastrophique — une croissance exponentielle des étapes d'évaluation qui monopolise complètement le CPU du serveur. Une seule requête HTTP avec un URI bien conçu peut rendre un worker Rails inutilisable pendant des minutes, causant ainsi un déni de service effectif.

All versions of Addressable from 2.3.0 up to (but not including) 2.9.0 are affected. The fix in 2.9.0 rewrites the affected regular expressions to eliminate catastrophic backtracking. Check your Gemfile.lock for the installed version:

Toutes les versions d'Addressable de 2.3.0 jusqu'à (mais non inclus) 2.9.0 sont affectées. Le correctif dans 2.9.0 réécrit les expressions régulières concernées pour éliminer le backtracking catastrophique. Vérifiez votre Gemfile.lock pour la version installée :

# Check installed version
grep "addressable" Gemfile.lock

# Update addressable
bundle update addressable

# If you want to target it specifically in Gemfile
gem "addressable", ">= 2.9.0"

If you use Addressable with URI templates that accept external input — for example, building API endpoint URLs from user-supplied parameters — this vulnerability is directly exploitable. Microsoft recommends also implementing input validation and rate limiting as defense-in-depth measures while you apply the patch.

Si vous utilisez Addressable avec des templates d'URI qui acceptent des entrées externes — par exemple, construire des URLs d'endpoints API à partir de paramètres fournis par l'utilisateur — cette vulnérabilité est directement exploitable. Microsoft recommande également d'implémenter la validation des entrées et le rate limiting comme mesures de défense en profondeur pendant l'application du patch.

The EOL Problem: Rails 7.0 and 7.1 Will Never Be Patched

Le Problème EOL : Rails 7.0 et 7.1 Ne Seront Jamais Corrigés

Every one of the nine March 2026 CVEs was patched in Rails 7.2, 8.0, and 8.1. Rails 7.0 and 7.1 received nothing. Both are officially end-of-life: the Rails security team explicitly does not backport fixes to unsupported branches. If your application is running Rails 7.0 or 7.1, you are now permanently exposed to CVE-2026-33195 (Active Storage path traversal, CVSS 8.0), CVE-2026-33167 and CVE-2026-33168 (XSS), and seven other known vulnerabilities — with no official fix available.

Chacune des neuf CVE de mars 2026 a été corrigée dans Rails 7.2, 8.0 et 8.1. Rails 7.0 et 7.1 n'ont rien reçu. Les deux sont officiellement en fin de vie : l'équipe sécurité de Rails ne fait explicitement pas de backport vers les branches non supportées. Si votre application tourne sur Rails 7.0 ou 7.1, vous êtes désormais permanemment exposé à CVE-2026-33195 (traversal Active Storage, CVSS 8.0), CVE-2026-33167 et CVE-2026-33168 (XSS), et sept autres vulnérabilités connues — sans correctif officiel disponible.

According to HeroDevs, the EOL situation in Rails is compounded by the Ruby runtime itself: Ruby 3.1 reached EOL in March 2025, Ruby 3.2 reaches EOL in March 2026, and Ruby 3.3 reaches EOL in March 2027. Many teams running legacy Rails applications are unknowingly running an EOL Ruby interpreter under an EOL Rails version — a dual EOL stack that receives zero security patches from either project.

Selon HeroDevs, la situation EOL de Rails est aggravée par le runtime Ruby lui-même : Ruby 3.1 a atteint l'EOL en mars 2025, Ruby 3.2 atteint l'EOL en mars 2026, et Ruby 3.3 atteint l'EOL en mars 2027. De nombreuses équipes gérant des applications Rails héritées utilisent sans le savoir un interpréteur Ruby EOL sous une version Rails EOL — une stack doublement EOL qui ne reçoit de correctif sécurité d'aucun des deux projets.

The supported Rails branches as of May 2026, and their EOL timelines:

Les branches Rails supportées en mai 2026 et leurs échéances EOL :

Bundler and RubyGems: The Dependency Security Blind Spot

Bundler et RubyGems : L’Angle Mort de la Sécurité des Dépendances

Beyond Rails-core vulnerabilities, the Ruby ecosystem faces a structural challenge with dependency security that few teams have addressed. Bundler, the package manager that resolves Gemfile dependencies, does not yet implement a native cooldown mechanism — a feature that prevents auto-installing newly published gem versions for a brief period after release. JavaScript package managers (npm, pnpm, yarn) and Python (pip) shipped similar cooldown protections in a six-month span from late 2025 through early 2026. Bundler has no open feature request tracking this functionality as of mid-2026.

Au-delà des vulnérabilités du core Rails, l'écosystème Ruby fait face à un défi structurel de sécurité des dépendances que peu d'équipes ont traité. Bundler, le gestionnaire de paquets qui résout les dépendances Gemfile, n'implémente pas encore de mécanisme natif de cooldown — une fonctionnalité qui empêche l'installation automatique des versions de gems récemment publiées pendant une courte période après leur sortie. Les gestionnaires de paquets JavaScript (npm, pnpm, yarn) et Python (pip) ont introduit des protections similaires sur une période de six mois entre fin 2025 et début 2026. Bundler n'a aucune feature request ouverte sur cette fonctionnalité à mi-2026.

A second risk is dependency confusion. When gems are not explicitly sourced in the Gemfile (i.e., no source: directive pointing to a private registry), Bundler can resolve them from RubyGems.org. An attacker who knows the name of your private internal gem can publish a higher-versioned gem with the same name on RubyGems.org, which Bundler will silently install over your internal version. A Medium researcher demonstrated this exact attack against a Rails application in January 2026, achieving remote code execution against the target.

Un deuxième risque est la confusion de dépendances. Quand les gems ne sont pas explicitement sourced dans le Gemfile (c'est-à-dire sans directive source: pointant vers un registre privé), Bundler peut les résoudre depuis RubyGems.org. Un attaquant qui connaît le nom de votre gem interne privé peut publier une gem de version supérieure avec le même nom sur RubyGems.org, que Bundler installera silencieusement par-dessus votre version interne. Un chercheur sur Medium a démontré exactement cette attaque contre une application Rails en janvier 2026, obtenant une exécution de code à distance sur la cible.

The practical defenses are straightforward and should be applied to every Rails project:

Les défenses pratiques sont simples et doivent être appliquées à chaque projet Rails :

# 1. Pin all sources explicitly in Gemfile
source "https://rubygems.org" do
  gem "rails", "~> 8.1"
  gem "addressable", ">= 2.9.0"
  # ...
end

# 2. For private gems, always specify the source
gem "my-internal-gem", source: "https://gems.internal.example.com"

# 3. Enable checksum verification (Bundler 2.5+)
# In Gemfile:
# bundle config set checksum_store path/to/checksums

# 4. Run bundler-audit regularly in CI
gem install bundler-audit
bundle audit check --update

# 5. Generate a Gemfile.lock audit report
bundle audit

Rails Security Hardening Checklist for 2026

Checklist de Durcissement Sécurité Rails pour 2026

The following checklist consolidates the most impactful actions a Rails developer or team can take in 2026, organized by priority:

La checklist suivante consolide les actions les plus impactantes qu'un développeur ou une équipe Rails peut entreprendre en 2026, organisées par priorité :

Frequently Asked Questions

Questions fréquentes