Ruby on RailsはActive Storageの重大なセキュリティ脆弱性（CVE-2026-66066）を修正するためのアップデートをリリースした。この脆弱性は認証なしでサーバー上のファイルを読み取るために悪用可能で、Railsのプロセス環境や秘密情報を露出させる可能性がある。

この脆弱性はlibvipsを使用してActive Storageで画像処理を行い、信頼できないユーザーからの画像アップロードを受け付ける場合に影響を受ける。影響を受けるバージョンはRails 7.0.0から7.2.3.1、8.0.0から8.0.5、8.1.0から8.1.3までを含む。

Rails 7.2.3.2、8.0.5.1、または8.1.3.1にアップグレードし、アプリケーションプロセスによって読み取り可能なすべての秘密情報を変更することが推奨される。また、libvips 8.13以降とruby-vips 2.2.1以降が必要となる。