回到上一頁

Rails重大漏洞恐導致伺服器檔案外洩，網站應儘速修補

2026-11-09
Ruby on Rails開發團隊於2026年11月4日發布安全更新，修補21項安全問題，其中Active Storage存在一項CVSS評分達9.8分的重大漏洞。當網站允許使用者上傳檔案，且ImageMagick安全設定未正確限制相關處理功能時，攻擊者可能讀取或寫入伺服器檔案。
【事件經過】
本次重大漏洞編號為CVE-2026-122006，涉及Rails Active Storage處理圖片附件時使用的ImageMagick元件。
ImageMagick可根據檔案內容選擇不同的解碼及處理功能，部分功能可能存取圖片以外的伺服器檔案。
在特定應用程式設定下，攻擊者可上傳精心設計的檔案，利用未受限制的ImageMagick功能執行非預期的檔案操作。
Rails官方指出，附件上傳後的自動分析流程便可能觸發問題，不一定需要使用者另外執行圖片預覽或轉換操作。
【影響範圍】
漏洞影響使用Active Storage、透過ImageMagick處理圖片、允許不可信任使用者上傳檔案，且現有安全政策未封鎖相關功能的Rails應用程式。
受影響版本包含Active Storage 8.0.5.2之前版本，以及8.1至8.1.4.1之前的版本。
CVE-2026-122006的CVSS v3.1評分為9.8分，屬重大風險。
若應用程式使用Disk服務儲存附件，攻擊者還可能讀取應用程式程序具有權限存取的檔案，包括secret_key_base及外部服務憑證，進一步增加帳號冒用與系統入侵風險。
原文未提供已確認受害網站數量，不能直接判定所有Rails網站均受到影響。
【建議措施】
網站管理員應先確認Rails與Active Storage版本、圖片處理元件、上傳功能及ImageMagick安全政策。
官方已發布Rails 8.0.5.2及8.1.4.1，建議依支援政策升級至適用的安全版本。
使用mini_magick處理圖片的應用程式，應確認相依套件符合官方要求，並檢查更新後的圖片上傳、縮圖、PDF及影像轉換功能。
若暫時無法升級，可依Rails安全公告將必要的ImageMagick限制規則加入系統政策，禁止不必要的檔案存取與外部處理功能。
如系統曾符合漏洞利用條件，且使用Disk附件儲存方式，應評估更新可能外洩的應用程式密鑰、資料庫密碼及第三方服務權杖。
【國內機關與企業之影響與因應】
原文未提供台灣受害案例。
採用Ruby on Rails建置網站、文件上傳或影像處理服務的機關與企業，應將框架版本、相依套件及檔案處理安全設定納入定期檢查。
此事件顯示，單純限制上傳副檔名不足以完整防範檔案處理風險，仍須確認後端解析元件與實際執行權限。
【新聞出處】
原文標題：Rails修補9.8分重大漏洞，使用ImageMagick處理上傳圖片的網站需留意
媒體名稱：iThome
發布日期：2026年11月9日
官方補充資料：Rails Versions 8.0.5.2 and 8.1.4.1 have been released!
公告日期：2026年11月4日
官方安全公告：GHSA-f3w6-w445-fwh9