Rails CVE-2026-122006の対応手順｜Active Storage更新とImageMagickポリシーの確認

本番のバージョンとアップロード経路を確認する

本番と同じ環境でGemfile.lockを見て、activestorageの実行版を確認します。影響版は8.0.5.2未満と、8.1以上8.1.4.1未満です。旧版に該当する場合、画像処理がmini_magick、ImageMagickのポリシーで危険な処理が許可されている、信頼できない利用者が添付できる、の3条件を確認します。

config.active_storage.variant_processorの実効値を確認します。load_defaultsが6.1以前のアプリでは、明示設定がなくてもmini_magickが既定です。画像解析は添付時に始まるため、プレビューを使わない画面やログイン必須の画面でも、利用者が送る添付を確認対象に含めます。保存先は全体の既定値と添付ごとの指定を確認し、Diskを使う経路を把握します。

修正版へ更新し、Webとジョブの両方に配布する

Rails 8.0系は8.0.5.2、8.1系は8.1.4.1が最初の修正版です。Gemfileの制約を確認し、その修正を含む対応系列へRails一式を更新します。mini_magickを使う構成では5.1以上が必要です。Gemfile.lockで解決された版を確認してからイメージをビルドし、Webプロセスと画像解析を実行するジョブワーカーを更新します。

すぐに更新できない場合は、Rails公式が案内する制限ルールをImageMagickのシステムポリシーに適用します。適用を確認できるまでは、信頼できない添付の受付や処理を制限してください。公式の制限は同じMiniMagick経由の処理全体に効くため、PDFやPostScriptを扱う業務の動作も確認します。

実際に読み込まれたポリシーと正常な画像処理を確認する

修正版はMiniMagick経由でImageMagickのポリシーを読み込ませます。Rails Guidesの確認コマンドを、画像処理を担うWeb・ワーカーと同じイメージ、環境変数、実行ユーザーで実行し、読み込まれたファイルと制限を確認します。通常のシェルでポリシーを一覧表示した結果だけでは、アプリが起動するImageMagickに同じ制限が届くか判断できません。

MiniMagick.cli_envを起動後に置き換える設定、環境変数を消すラッパー、独自シェルがある場合は、公式のルールをシステム側のポリシーにも適用します。許可ルールで制限が上書きされていないことも確認します。検証環境で通常のJPEG・PNGを添付し、解析ジョブの完了とサムネイルの表示を確認してから本番で同じ経路を点検します。

bin/rails runner 'puts MiniMagick.identify { |i| i.list "policy" }'

影響を受けたDisk構成では秘密情報を交換する

Railsは、対象構成でDiskに添付を保存していた場合、アプリが読めた秘密情報を交換するよう案内しています。secret_key_baseとRailsのマスターキーに加え、暗号化credentialsに入っていたDB・ストレージ・外部APIの認証情報も対象です。マスターキーを変える場合はcredentialsを新しい鍵で再暗号化し、古い秘密情報はフォールバックに残さず失効させます。

Webとワーカーへの反映、再ログイン、DBやストレージへの接続を確認します。不審な添付やジョブが見つかった場合は、関係するログを保全し、ファイル改変や外部サービスへのアクセスも調査します。