Tim Rails merilis Rails 8.1.4.1 dan 8.0.5.2 pada 4 November 2026 untuk menutup celah kritis di Active Storage, modul unggah file bawaan kerangka web Ruby tersebut. Advisori GHSA-f3w6-w445-fwh9 bernilai CVSS 9,8 dan menyebut penyerang tanpa login berpotensi menulis file sembarang di server aplikasi.
Aplikasi yang terdampak
Rails menjelaskan bahwa aplikasi baru terdampak bila tiga syarat terpenuhi sekaligus. Pertama, Active Storage memakai ImageMagick lewat variant processor :mini_magick, yang menjadi bawaan untuk load_defaults 6.1 atau lebih lama. Kedua, ImageMagick berjalan tanpa kebijakan yang memblokir coder terkait, dan menurut Rails kebijakan bawaan Debian serta Ubuntu tidak memblokirnya. Ketiga, aplikasi menerima unggahan dari pengguna yang tidak tepercaya.
Versi terdampak mencakup semua rilis sebelum 8.0.5.2 dan seri 8.1 sebelum 8.1.4.1. Seri yang lebih tua dari 8.0 tidak lagi didukung, sehingga tidak akan menerima perbaikan. Bila aplikasi memakai layanan penyimpanan Disk, penyerang juga bisa membaca file yang dapat diakses aplikasi, termasuk secret_key_base dan kredensial layanan eksternal. Rails memperingatkan hal itu bisa berujung eksekusi kode atau perpindahan ke sistem lain.
Peneliti RyotaK dari GMO Flatt Security melaporkan celah ini lewat HackerOne. Rails mengaku menerima satu rantai serangan, tetapi tidak menganggapnya satu-satunya. Advisori tidak menyatakan adanya eksploitasi di dunia nyata. Soal nomor CVE, advisori resmi menulis belum ada, sedangkan beberapa pelacak pihak ketiga mencantumkan CVE-2026-122006. Pencantuman itu belum kami verifikasi di sumber resmi. Kedua rilis ini memperbaiki 21 isu keamanan, termasuk GHSA-v924-7rp8-4mxh (CVSS 8,8) yang berkaitan dengan ekstensi file asli pada unggahan.
Langkah yang perlu diambil
Pengelola aplikasi Rails sebaiknya naik ke 8.1.4.1 atau 8.0.5.2, dan memakai mini_magick 5.1 atau lebih baru. Setelah itu, periksa bahwa kebijakan bawaan benar-benar termuat dan tidak ditimpa oleh konfigurasi lain, termasuk file policy.xml di server. Rails mencatat bahwa GraphicsMagick tidak dilindungi kebijakan bawaan tersebut.
Tim yang belum bisa memperbarui dapat menyalin aturan dari file policy.xml milik Active Storage ke kebijakan sistem. Sekurang-kurangnya, blokir coder MSL, coder berbasis Ghostscript, dan delegate gs. Aplikasi yang memproses PostScript atau PDF lewat ImageMagick perlu mengizinkan kembali yang mereka butuhkan. Bila aplikasi memakai layanan Disk dan rahasianya mungkin terbaca, rotasi secret_key_base beserta semua rahasia lain yang bisa dibaca proses aplikasi.
Jadwalnya sempit. Menurut laporan The Hacker News, dukungan perbaikan keamanan untuk Rails 8.0 berakhir pada 7 November 2026, jadi tim yang masih di seri itu perlu berpindah dalam hitungan hari. Pengembang web yang bekerja dengan kerangka kerja lain juga baru menerima pembaruan Next.js yang menutup tujuh celah, sehingga pekan ini layak dipakai untuk memeriksa dependensi aplikasi web secara menyeluruh.
Sumber: advisori resmi Rails di GitHub dan The Hacker News. Gambar: The Hacker News.