CVE-2026-122006: Lettura file server in Rails activestorage

CVE-2026-122006 è una vulnerabilità critical nella gem activestorage di Ruby on Rails (versioni prima di 8.1.4.1) che espone il server a lettura e scrittura non autorizzate di file quando viene processato un allegato. Il problema risiede nel fatto che l'analyzer di ImageMagick viene eseguito senza una policy di sicurezza che blocchi funzionalità non intenzionali, permettendo agli attaccanti di accedere a dati sensibili come le chiavi di sessione (secret_key_base) direttamente dal file system del server.

La severità è critical con CVSS 9,8. Secondo le informazioni pubblicate su NVD il 4 novembre 2026, la vulnerabilità consente sia operazioni di lettura che di scrittura sui file del server durante il processamento degli attachment. Sono stati rilevati segnali di attività su repository pubblici il 5 novembre 2026, a meno di 24 ore dalla pubblicazione, indicando che la comunità ha già identificato la vulnerabilità.

I team IT e sysadmin devono aggiornare immediatamente activestorage alla versione 8.1.4.1 o successiva. Parallelamente, verificare i log di processamento dei file per individuare qualsiasi accesso anomalo avvenuto prima dell'aggiornamento. Implementare una policy di sicurezza esplicita per ImageMagick è una misura di difesa addizionale essenziale.

La vulnerabilità rappresenta un rischio immediatamente sfruttabile su qualunque istanza Rails con activestorage esposta a caricamento di file da utenti non affidabili. Poiché il meccanismo di attacco è passivo (basta allegare un file), gli amministratori devono considerare questo aggiornamento come prioritario nella loro gestione delle patch di novembre 2026.