目次（6）
CVE-2026-122006
Ruby on Rails の添付ファイル機能 Active Storage（activestorage gem）に、ImageMagick の処理まわりの脆弱性（CVE-2026-122006）が登録されました。2026-11-04 に NVD へ載り、登録元は MITRE です。NVD の状態は「Received」（NVD 自身の分析はまだ）です。
何が起きるか
- ImageMagick を使う添付処理では、ファイルを添付した時点で ImageMagick のアナライザーが動きます。このとき ImageMagick のセキュリティポリシー（使える機能を絞る設定）が無いため、意図しない機能が働きます（CWE-1188：不安全な初期設定）。
- 結果として、サーバー上のファイルの読み取りや書き込みが起こりえるとされます。NVD の記述には
secret_key_baseの読み取りが例として挙がっています。 - CVSS v3.1 では、ネットワークから、認証なし・ユーザー操作なしで悪用できる想定です。ただし、実際にどの条件で成立するか（ImageMagick を使う設定か、攻撃者がファイルを添付できる画面があるか）は、公開情報では細かく確認できていません。
数値と severity
- CVSS v3.1 は 9.8（CRITICAL）。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。この値は NVD ではなく登録元（MITRE）が付けたものです。
- 認証不要で CVSS 9 以上のため、severity は critical とします。
- EPSS と CISA の KEV は本記事の作成時点で未確認です。
影響を受ける版と修正
- NVD の登録データでは、activestorage 8.0.5.2 より前、および 8.1 系の 8.1.4.1 より前が影響を受けます。
- 修正版は 8.0.5.2 と 8.1.4.1 です。Rails のリリースタグが公開されています。
- 7.x 以前の系統が対象かどうかは、登録データの範囲（「0 から 8.0.5.2 未満」）からは含まれるように読めますが、Rails 側の保守状況は未確認です。
対策
- Rails を 8.0.5.2 または 8.1.4.1 以降に更新する。
- 更新までの間の対応として、次のようなものが考えられます（公式の指示ではありません）。
- ImageMagick のセキュリティポリシー（policy.xml）を設定し、不要な機能を無効にする。
- 画像処理に ImageMagick を使わない設定（libvips など）に切り替えられるか検討する。
- 外部の利用者がファイルを添付できる画面を、更新まで一時的に絞る。
secret_key_baseが読み取られた可能性がある環境では、更新後に値の入れ替えを検討する。
未確認の点
- 悪用の有無と、攻撃コードの公開状況。
- 成立に必要な具体的な設定（ImageMagick の版や設定）。
- 7.x 以前の系統への修正の有無。
- NVD の最終評価、EPSS、KEV の掲載状況。
出典
- NVD: CVE-2026-122006
- Ruby on Rails リリース v8.0.5.2 / v8.1.4.1
- Rails の GitHub セキュリティ勧告 GHSA-f3w6-w445-fwh9（参照先として確認。本文の内容は未取得）
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-05）のもので、未確認の点は本文に明記しています。
出典
- NVD CVE-2026-122006（NIST NVD）
- Rails v8.1.4.1 リリース（Ruby on Rails）
- Rails v8.0.5.2 リリース（Ruby on Rails）
- Rails GitHub セキュリティ勧告 GHSA-f3w6-w445-fwh9（Ruby on Rails）
