Railsセキュリティ修正8.1.3.1、8.0.5.1、7.2.3.2がリリースされました

Ruby on Rails セキュリティ修正8.1.3.1、8.0.5.1、7.2.3.2がリリースされました。
Active Storageのアップロード機能とlibvipsが有効で、かつ特定の条件が満たされた場合に影響を受ける可能性のある「重大な」脆弱性（通称: KindaRails2Shell）を修正します。

例として、DebianやUbuntu、およびrails newなどで生成されるDockerfileを用いた環境はデフォルトで影響を受けます。
深刻度「緊急」のRails脆弱性「KindaRails2Shell」（CVE-2026-66066）の概要と対応指針 - GMO Flatt Security Blogより抜粋

• リリース情報: Rails Versions 7.2.3.2, 8.0.5.1, and 8.1.3.1 have been released!

朝4時に起きてやっていたのは CVE-2026-66066 対応 pic.twitter.com/noHCismPqY

— Takuto Wada (@t_wada) July 29, 2026

英語版Changelogをまとめて見るにはGItHubのリリースタグ↓が便利です。

• Release 8.1.3.1 · rails/rails
• Release 8.0.5.1 · rails/rails
• Release 7.2.3.2 · rails/rails

詳しくは以下のコミットリストをご覧ください。

• コミットリスト: Comparing v8.1.3...v8.1.3.1 · rails/rails
• コミットリスト: Comparing v8.0.5...v8.0.5.1 · rails/rails
• コミットリスト: Comparing v7.2.3.1...v7.2.3.2 · rails/rails

source "https://rubygems.org", cooldown: 7

bundle update rails --cooldown 0

セキュリティ修正の概要

本脆弱性を発見・報告・修正したGMOのブログに詳しい情報が日本語で掲載されています↓。

参考: 深刻度「緊急」のRails脆弱性「KindaRails2Shell」（CVE-2026-66066）の概要と対応指針 - GMO Flatt Security Blog

発見者の1人であるEthiack氏も英語で記事を公開しています↓。

参考: KindaRails2Shell - Critical RCE in Rails via Active Storage (CVE-2026-66066) | Ethiack — Autonomous Ethical Hacking for continuous security

以下は英語での詳細情報です。

参考: [CVE-2026-66066] Possible arbitrary file read and remote code execution in Active Storage variant processing - Security Announcements - Ruby on Rails Discussions

なお、セキュリティ関連のトピックは以下のRuby on Rails Discussionsのsecurityトピックで一覧できます。

参考: Latest security topics - Ruby on Rails Discussions

Possible arbitrary file read and remote code execution in Active Storage variant processing · Advisory · rails/rails

詳しくは上のトピックを参照してください。

影響を受けるRailsバージョン

Active Storage 7.2.3.1以下
Active Storage 8.0〜8.0.5
Active Storage 8.1〜8.1.3

修正済みバージョン

Active Storage 7.2.3.2
Active Storage 8.0.5.1
Active Storage 8.1.3.1

最新のセキュリティサポート期限

現在のメンテナンスポリシー↓ではRails 8.1.xと8.0.xと7.2.xがセキュリティ修正の対象となっています。

• セキュリティ修正:
  • Rails 8.1.x: 2027/10/10までサポート
  • Rails 8.0.x: 2026/11/07までサポート
  • Rails 7.2.x: 2026/08/09までサポート --終了間近

Rails 7.1.x以下はセキュリティ修正も含めサポートが終了しました。

参考: Ruby on Rails — Maintenance policy

関連記事

Rails セキュリティ修正8.1.2.1/8.0.4.1/7.2.3.1がリリースされました

The post Railsセキュリティ修正8.1.3.1、8.0.5.1、7.2.3.2がリリースされました first appeared on TechRacho.