重要ポイント
- 何が起きたか: Ruby on Rails が2026年11月4日、21件の脆弱性を修正する 8.1.4.1 と 8.0.5.2 を公開しました。
- 深刻度: Active Storage の画像解析に、認証なしでサーバー上のファイルを書き込める欠陥(GHSA-f3w6-w445-fwh9、CVSS 9.8)。ほか High 4件、Medium 13件、Low 3件。
- 悪用の状況: 公式情報では悪用の報告は確認できません(2026年11月8日時点)。
- 対処: 8.1.4.1 または 8.0.5.2 へ更新。8.0 系のセキュリティサポートは11月7日で終了しています。
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| Ruby on Rails(8.1 系) | 8.1.4.1 より前(8.1 系) | 8.1.4.1 |
| Ruby on Rails(8.0 系) | 8.0.5.2 より前(8.0 系) | 8.0.5.2 |
| Active Storage(最も深刻な件) | 8.1 以上 8.1.4.1 未満、および 8.0.5.2 未満 | 8.1.4.1 / 8.0.5.2 |
対処: Gemfile の rails を修正版にして bundle update rails を実行し、再デプロイします。:mini_magick を使うアプリは mini_magick 5.1 以上が必要です(満たさないと起動時に例外になります)。更新まで時間がかかるときは、ImageMagick の policy.xml で MSL コーダーと Ghostscript 系のコーダー、gs デリゲートを拒否してください。
確認: bundle exec rails -v または bundle list | grep -E "^ *\* (rails|activestorage) " でバージョンを確認します。Rails 8.0 より前の系列は公式にサポート対象外で、8.0 以上への移行が推奨されています。
概要
Rails の開発チームは2026年11月4日、セキュリティ更新 8.1.4.1 と 8.0.5.2 を公開しました。21件の問題を修正しており、最も深刻なのは Active Storage の画像解析で、認証なしのアップロードからサーバー上のファイルを書き換えられるおそれがある欠陥です。Rails でアプリを運用している場合は、早めに更新してください。
影響と対処
影響を受けるもの
Rails 8.1 系は 8.1.4.1 より前、8.0 系は 8.0.5.2 より前が対象です。公式の告知は、個別の問題ごとに影響範囲を分けています。8.1 系だけに当てはまるのは、Action Dispatch の RemoteIp(Forwarded ヘッダー経由の IP 偽装、High)と、Active Support の MessagePack シリアライザーの XSS(Medium)です。
どんな問題か
最も深刻な Critical の1件(GHSA-f3w6-w445-fwh9、CVSS 9.8)は、Active Storage が画像解析の際に ImageMagick のどのコーダーを動かすかを制限していなかったことが原因です。次の3つがそろうアプリが影響を受けます。①:mini_magick のバリアントプロセッサーを使っている、②ImageMagick のポリシーが該当のコーダーを拒否していない(Debian・Ubuntu の標準ポリシーは拒否していません)、③信頼できない利用者からのアップロードを受け付けている。Disk サービスに保存している場合は、secret_key_base など、アプリのプロセスが読める情報が読まれるおそれもあります。なお、Security NEXT はこの件を CVE-2026-122006 として報じていますが、GitHub のアドバイザリには CVE 番号がまだ付いていません。
ほかの High は4件です。Active Storage の動画プレビュー・解析でのファイル読み取りとコード実行(GHSA-v924-7rp8-4mxh)、Strong Parameters の Parameters#each_key での回避(GHSA-wm3x-v3qw-4jh3)、RemoteIp での IP 偽装(8.1 系のみ)、safe_constantize の DoS です。Medium は XSS(文字列ヘルパー・タグヘルパーなど)、DoS、セッション情報の漏えい、キャッシュ汚染などの13件、Low は3件です。
対処方法
8.1 系は 8.1.4.1、8.0 系は 8.0.5.2 へ更新します。8.0 系は2026年11月7日でセキュリティサポートが終わったため、今後は 8.1 系への移行も計画してください。Disk に保存した添付ファイルが外部から触れる状態だった可能性があるアプリは、secret_key_base とプロセスから読める認証情報の入れ替えも検討してください。
確認方法
Gemfile.lock の rails と activestorage のバージョンを見ます。config.active_storage.variant_processor が :mini_magick で、利用者からのアップロードを受け付けている場合は、最優先で更新してください。
対応チェックリスト
- Gemfile.lock で rails のバージョンを確認する
- 8.1.4.1(8.1 系)または 8.0.5.2(8.0 系)へ更新して再デプロイする
:mini_magickを使う場合は mini_magick 5.1 以上にし、ImageMagick の policy.xml も見直す- Disk 保存の添付ファイルが露出していた可能性があれば、
secret_key_baseなどを入れ替える - 8.0 系は11月7日でサポート終了。8.1 系への移行を計画する
出典
- Rails Versions 8.0.5.2 and 8.1.4.1 have been released!(Ruby on Rails、2026年11月4日)
- GHSA-f3w6-w445-fwh9(rails/rails、2026年11月4日)
- 「Ruby on Rails」にアップデート – 脆弱性21件を修正(Security NEXT、2026年11月5日)
