Nach Angaben von Ethiack und GMO Flatt Security liegen die betroffenen Versionsbereiche bei Rails 7.0.0 bis 7.2.3.1, Rails 8.0.0 bis 8.0.5 sowie Rails 8.1.0 bis 8.1.3. Bei Rails 6.0.0 bis 6.1.7.10 ist die Schwachstelle nur dann relevant, wenn Active Storage ausdrücklich für die Nutzung von Vips konfiguriert wurde; in Rails 6 war das nicht die Voreinstellung.
Die offizielle Sicherheitswarnung nennt einen breiteren Paketbereich: activestorage kleiner als 7.2.3.2. Beide Forschungsteams verorten den praktisch ausnutzbaren Angriffsweg über Vips ab Rails 6.0. Anwendungen mit MiniMagick sind über diesen konkreten Pfad nicht betroffen. Für Rails 7.0 und 7.1 gibt es keine korrigierten Versionen mehr, weil diese Entwicklungszweige das Ende ihres Lebenszyklus erreicht haben; betroffene Installationen müssen auf Rails 7.2.3.2 oder neuer wechseln.
Die Ursache liegt laut Rails an der Vertrauensgrenze zwischen Active Storage und libvips. In der Sicherheitswarnung beschreibt das Projekt, dass libvips Lade-, Speicher- und weitere Operationen unterstützt, von denen einige auf Bibliotheken Dritter beruhen und als unsicher für feindliche Eingaben markiert sind. Active Storage blockierte diese Pfade nicht. Dadurch konnte ein präparierter Upload eine solche Operation auslösen und Dateien offenlegen, die der Rails-Worker lesen darf.
Rails betont, dass eine anfällige Anwendung dafür keine gesondert erreichbare Funktion zum Skalieren oder Erzeugen von Vorschaubildern bereitstellen muss. „Das Erzeugen von Varianten ist keine separate Voraussetzung“, teilte das Projekt mit. Der öffentliche Patch zeigt zudem, dass sowohl der Vips-Analysator als auch der Transformer nicht vertrauenswürdige Anhänge an die unsicheren Operationen weiterreichten.
Ein erfolgreicher Angriff verschafft laut Rails zunächst nur die Möglichkeit, beliebige Dateien auszulesen. Ob daraus Remotecodeausführung oder Bewegungen in andere Systeme folgen, hängt davon ab, welche Informationen ausgelesen werden und welche Reichweite diese Zugangsdaten haben. Rails empfiehlt deshalb, secret_key_base, den Master-Key und entschlüsselte Zugangsdaten, Datenbank-Zugangsdaten, Schlüssel für Active-Storage-Dienste und Token von Drittanbietern zu rotieren.
Als korrigierte Versionen nennt Rails 7.2.3.2, 8.0.5.1 und 8.1.3.1. Für gepatchte Installationen werden libvips 8.13 oder neuer sowie, falls ruby-vips eingesetzt wird, ruby-vips 2.2.1 oder neuer benötigt. Der Patch aktiviert beim Start von Active Storage den Aufruf Vips.block_untrusted(true). Wer Rails nicht sofort aktualisieren kann, kann laut Projekt bei libvips 8.13 oder neuer die Umgebungsvariable VIPS_BLOCK_UNTRUSTED setzen oder mit ruby-vips 2.2.1 oder neuer ebenfalls Vips.block_untrusted(true) aufrufen. Frühere libvips-Versionen können diese Operationen nach Angaben von Rails nicht blockieren; in diesem Fall muss libvips aktualisiert oder aus der Anwendung entfernt werden.
Rails schreibt die unabhängige Meldung der Schwachstelle André Baptista, Bruno Mendes und Rafael Castilho von Ethiack sowie RyotaK von GMO Flatt Security zu. Die Forscher haben weder das bösartige Format noch die Konstruktion zum Dateizugriff oder eine mögliche Kette zur Remotecodeausführung veröffentlicht. Rails kündigte an, weitere technische Details spätestens bis zum 28. August 2026 offenzulegen.
Zum Veröffentlichungszeitpunkt lagen weder von Rails noch von den Forschern Berichte über eine Ausnutzung in freier Wildbahn vor. The Hacker News fand zudem zum genannten Prüfzeitpunkt kein Exploit-Repository in indexierten Ergebnissen von GitHub, GitLab, Exploit-DB oder Packet Storm. Ebenfalls nicht verzeichnet war CVE-2026-66066 in der Fassung 2026.07.27 des Katalogs bekannter ausgenutzter Schwachstellen von CISA. Eine verlässliche Zahl anfälliger Anwendungen oder benannter Opfer gibt es nicht.