写真を送れるRailsサイト。画像解析の修正は済んでいますか

外部の添付画像をどう処理しているか聞く

Active Storage（アクティブストレージ）は、Railsで添付ファイルを保存・処理する機能です。今回のCVE-2026-126082（シー・ブイ・イー、脆弱性の識別番号）は、対象版で次の三つがそろう場合に関係します。

1. 利用者など、運営側が信頼を確認できない相手からファイルを受け付ける。
2. Active StorageがMiniMagick（ミニマジック）を介し、ImageMagick（イメージマジック、画像処理ソフト）で画像を解析する。
3. ImageMagickの設定で、今回問題となったファイル形式の処理や補助プログラムの呼び出しが許可されている。

Railsは重大（Critical、クリティカル）9.8と評価しています。条件がそろうと、プレビューを開く前でも添付時の解析でサーバー上のファイルを書き換えられるおそれがあります。添付をDisk（ディスク、サーバー側のファイルとして保存する方式）に保存する構成では、アプリが読み取れる秘密情報が読まれるおそれもあります。組み合わせによってはサーバー上の命令実行や外部サービスへの不正アクセスにつながります。実際の攻撃での悪用は、11月13日に確認した資料では把握できていません。

Railsの設定が古い初期値を引き継いでいると、Rails本体を更新していても処理方式はMiniMagickのままの場合があります。libvips（リブビップス）に切り替える案では、実行時の画像解析と変換に加え、libvips側のImageMagick読み込み機能や、アプリの別経路からImageMagickを呼ぶ処理も担当者に確認してもらいます。

稼働している部品の版と修正の適用を照合する

修正版のMiniMagick構成にはMiniMagick 5.1以上が必要です。ImageMagickの制限設定が、サイト本体と裏側で画像処理を行うプログラムの両方で効くかを確認します。アプリが独自に環境設定を書き換える場合や別製品のGraphicsMagick（グラフィックスマジック）を使う場合は、同じ制限が自動で適用されると判断せず、構成ごとの対策を保守先と確認してください。

すぐに更新できないときは、公開フォームのほか、アップロード先へ直接送る経路や、受信済みのファイルを待ち行列から処理する仕組みも調べます。危険な入力が解析に届かないように停止・制限し、代替窓口を案内します。受付を続ける必要がある場合は、保守担当がRailsの勧告にあるスクリプト処理やGhostscript（ゴーストスクリプト、PDFなどを読み取る補助ソフト）の呼び出し制限を検証し、運用中のImageMagickに反映します。ファイル名や拡張子から分かるのは形式の手掛かりです。実際にどの処理が許されるかを確認します。

受付の代わりを用意し、修正後に写真付きで試す

1. 作業の前に残すものを決める。 設定、データベース、添付ファイルのバックアップを確保し、検証環境で戻し方を確かめます。公開フォーム、画像の自動処理、PDFの見本表示などに影響する時間と作業工数を見積もり、写真を受け付けない間の連絡先を案内します。
2. 異常があれば先に記録を保全する。 心当たりのないファイル変更があれば、担当者が影響する処理を隔離し、アクセスログ、画像処理の記録、設定変更、影響の疑われる添付を保全します。
3. 想定どおりに通る入力と、止まる入力を試す。 検証環境で通常の写真を添付し、受付、プレビュー、通知が通ることを確認します。禁止した形式の処理を拒否でき、ファイルの置き去りや誤った受付通知が起きないかも確かめます。必要なPDFなどの業務も試します。復旧で影響のある版に戻す必要が出た場合は、対象の添付処理を閉じたまま代替窓口で受け付けます。

対象のDisk保存を使っていた場合、Railsは、アプリから読み取れる秘密情報をすべて交換するよう案内しています。異常が見つかっていない場合も、保守担当者に交換を依頼してください。ログインし直す利用者への案内や、データベース・外部サービスとの接続テストも計画します。

保守先にそのまま聞ける一文

自社の写真付きフォームは、どの版のActive Storageで画像を処理していますか。ImageMagickを使う場合、CVE-2026-126082への修正と制限設定は本番の画像処理に反映されていますか。対象なら一時的に止める機能、代替の受付、再開前に試す項目、異常があった場合の記録の保全方法を教えてください。

自社で確認できる基本対策を見る →