Railsチームは、Active StorageのCVE-2026-66066という重大なセキュリティ脆弱性を修正した。この脆弱性により、認証されていない攻撃者がファイルの読み取りやリモートコード実行（RCE）を行う可能性があった。脆弱性は、libvipsが使用され、サーバーが信頼できないユーザーからの画像アップロードを許可している場合に有効だった。

影響を受けるバージョンは、Active Storage 7.2.3.2以前、8.0.xの8.0.5.1以前、8.1.xの8.1.3.1以前のリリースである。Rails 6.xは、デフォルト設定以外で構成されている場合にのみ影響を受けた。Railsチームは、libvipsを8.13以降のバージョンにアップグレードし、'secret_key_base'（Railsキー）、データベースの認証情報、Active Storageサービスの認証情報、アプリケーションプロセスがアクセスできるその他の機密情報を漏洩しないようにすることを推奨した。

Railsチームは、攻撃者が脆弱性を悪用する前にユーザーがアップデートを適用できるよう、技術的な詳細を非公開にした。しかし、概念実証（PoC）攻撃が急速に拡散したため、チームはすべての詳細とフォレンジックツールを公開した。脆弱性は、EthiackとGMO Flatt Security Inc.の研究者が発見し、Railsチームに報告した。