多くのWebサイトを支える「Rails」に激ヤバ脆弱性、攻撃コードはもう出回っている

まず初めに

結論から言う。CVSSv4スコア9.5。ほぼ満点。しかも攻撃コードはすでに世に出回っている。画像を1枚アップロードさせるだけでサーバーの機密情報が抜かれかねない、という組み合わせは、開発者にとって悪夢そのものだ。「そのうち直そう」が許される猶予は、この記事を読んでいる今この瞬間にはもう残っていない。

何が起きているのか

Ruby on Railsプロジェクトは2026年7月29日、Active Storageの画像・動画のバリアント（サイズ変更などの派生ファイル）処理機能に脆弱性が見つかったとして、修正版のRails 7.2.3.2、8.0.5.1、8.1.3.1を公開しました。対象となるのは、Active Storageを有効にし、かつ画像処理エンジンとして「vipsプロセッサ」（libvips）を標準ビルドの構成で使っているRailsアプリケーションです。影響を受けるバージョンは、activestorage 7.2系で7.2.3.2より前、8.0系で8.0.5.1より前、8.1系で8.1.3.1より前とされています。

この脆弱性が悪用されると、認証を経ていない第三者が細工した画像ファイルをアップロードするだけで、サーバー上のファイルを読み取れる可能性があります。読み取られる可能性があるファイルには、Railsアプリケーションのsecret_key_baseやRailsのマスターキー、データベースのパスワード、クラウドストレージの認証情報、APIトークンといった、外部に漏れてはならない機密情報が含まれるとされています。これらの情報が流出すると、遠隔からのコード実行（RCE）につながるおそれがあるほか、連携する他のシステムへの侵入にも使われる可能性があります。

Railsプロジェクトは当初、2026年8月28日に技術的な詳細を公開する計画でしたが、複数のセキュリティ研究者が独自に脆弱性を解析し、攻撃手法を再現したコードを公開したことを受け、7月31日に技術詳細と、自社の環境が影響を受けていないかを調べるためのフォレンジック（痕跡調査）ツールを予定より前倒しで公開しました。JPCERT/CCは8月3日、この状況を踏まえて注意喚起を発表し、攻撃コードがすでに公開されており、今後この脆弱性を悪用した攻撃が広く行われる可能性があるとして、開発者に対し修正版への更新を呼びかけています。

なぜ「前倒し公開」という判断が重かったのか

本来、脆弱性の技術的な詳細は、多くの利用者が修正版を適用する時間を確保できるよう、一定の期間を置いてから公開するのが一般的な運用です。今回、Railsプロジェクトが約1カ月前倒しで詳細を公開せざるを得なかったのは、外部の研究者がすでに独自に攻撃手法を再現し、公開してしまっていたためです。情報を隠し続けても攻撃側にはすでに知られている以上、防御側にも同じ情報を渡して対応を急がせるほうが、被害を抑える現実的な判断だったと考えられます。

なぜ重要なのか

Ruby on Railsは、企業のWebサービスから個人が運営するサイトまで幅広く使われている、代表的なWebアプリケーションフレームワークの一つです。今回の脆弱性は、認証を必要とせず、画像ファイルをアップロードできる機能があれば悪用できる可能性がある点と、CVSSv4スコア9.5という高い深刻度を持つ点で、影響範囲が広くなり得ます。

JPCERT/CCが注意喚起で特に強調しているのは、攻撃に使えるコードがすでに公開済みであるという点です。修正が公開されてから攻撃コードが出回るまでの時間が短いほど、対応が間に合わない組織が被害を受けるリスクが高まります。今回はRailsプロジェクト自身が予定を前倒しして技術詳細を公開せざるを得なかった経緯からも、対応の緊急性の高さがうかがえます。

私たちへの影響

一般の利用者が直接何かを操作する必要がある脆弱性ではありませんが、普段利用しているWebサービスがRailsで作られ、かつ今回の条件に該当する設定を使っていた場合、そのサービス側で情報漏えいが起きる可能性があります。サービス運営者から「認証情報を再発行した」「パスワードの再設定をお願いする」といった案内が届いた場合は、今回の脆弱性を含む何らかのセキュリティ対応の一環である可能性があるため、案内に従って対応することが安全です。

Webサイトやサービスを自社で運営している事業者・開発者にとっては、今回の脆弱性は直接的な対応が必要な事案です。Active Storageとlibvipsのvipsプロセッサを使用している場合は、Railsを修正版（7.2.3.2、8.0.5.1、8.1.3.1のいずれか）へ速やかに更新し、JPCERT/CCが推奨するとおり、サーバー内で読み取り可能だった認証情報（データベースのパスワードやAPIトークンなど）はすでに漏えいした前提で変更することが求められます。

初心者が知っておくべきこと

「フレームワーク」とは、Webサービスを開発する際の土台となるソフトウェアの部品集のことです。Ruby on Railsのようなフレームワークを使うことで、開発者は一からすべてのプログラムを書かずに済み、効率的にサービスを作ることができます。裏を返せば、多くのサービスが同じフレームワークの同じ部品を使っているため、その部品に脆弱性が見つかると、影響を受けるサービスの数も多くなりやすいという性質があります。

「リモートコード実行（RCE）」は、攻撃者が対象のコンピューターやサーバーに直接触れることなく、遠隔から任意のプログラムを実行できてしまう状態を指す用語です。攻撃者がサーバーを自由に操作できる状態に近づくため、脆弱性の中でも特に深刻な部類に分類されます。

IT Postの見方

IT Postでは、今回のように広く使われる基盤ソフトウェアの脆弱性は、利用者が意識しないところで多くのサービスに影響する分、開発・運用側の対応スピードが被害の規模を大きく左右すると考えます。特に、修正版の公開後に攻撃コードが急速に出回るケースが増えている中で、脆弱性情報の発表を待って対応するのではなく、日頃から迅速に更新を適用できる体制を整えておくことの重要性が、あらためて示された事例だと考えます。

今後どうなりそうか

JPCERT/CCが警告するとおり、攻撃コードがすでに公開されているため、今後この脆弱性を悪用した攻撃が広がる可能性があります。Railsを利用する事業者・開発者は、修正版への更新状況を確認し、必要な認証情報の変更を済ませているかをあらためて点検することが引き続き重要です。IT Postでは、今後もJPCERT/CCなどの公的機関が発表する重要な脆弱性情報を継続して確認していきます。