Rails v8.1.3.1

30秒で判断

• 対応すべき人: Rails 8.1 系で Active Storage を使い、BMP・ICO・PSD の Variant 変換や SVG・JPEG XL・JPEG 2000・Netpbm などの画像解析を行っているアプリケーション
• 対応不要な人: Active Storage を使っていない、または JPEG・PNG・WebP など libvips が「信頼済み」とみなす一般的な形式しか扱っていない、画像アップロード機能がないアプリ
• 確認コマンド: bin/rails --version（および Gemfile.lock の rails バージョン確認）

この変更が意味すること

Rails v8.1.3.1 は、Active Support・Active Record・Action Pack など主要コンポーネントには変更がなく、Active Storage の画像処理に関する1点のセキュリティ寄りの変更が中心のパッチリリースです。

libvips は一部のローダー/セイバーを「unfuzzed（＝ファジングされておらず、信頼できるコンテンツ専用）」とマークしています。本リリースでは Active Storage が起動時に Vips.block_untrusted(true) を呼び出し、これらの信頼できないローダー/セイバーを デフォルトで無効化 するようになりました。ユーザーがアップロードした画像を処理する場面での攻撃面を減らすための変更です。

ただしこれは 破壊的変更でもあります。該当形式を扱っているアプリでは、更新後に例外が発生するようになるため、影響範囲の確認が必須です。

主な変更点

Active Storage: libvips の unfuzzed ローダー/セイバーを無効化（破壊的変更）

• 起動時に Vips.block_untrusted(true) を呼び出し、信頼できないローダー/セイバーを無効化
• BMP・ICO・PSD の Variant 変換が Vips::Error を送出するようになる
• SVG・JPEG XL・JPEG 2000・Netpbm など一部形式の解析も同様にエラーになる
• 特定のローダー/セイバーが必要なアプリは、イニシャライザで個別に再有効化できる

その他のコンポーネント（Active Support / Active Model / Active Record / Action View / Action Pack / Active Job / Action Mailer / Action Cable）は「No changes.」です。

EOL / サポート状況

endoflife.date の監視対象に Rails は含まれていないため、本ページでは公式のメンテナンスポリシーに基づく判断を推奨します。8.1 系は最新の安定版系列であり、.1 サフィックスのセキュリティ/バグ修正リリースは早めに取り込むのが安全です。

開発者への影響

1. 画像アップロード機能があるアプリ: 受け付けている画像形式を洗い出し、BMP/ICO/PSD/SVG などが含まれていないか確認する
2. Variant 変換を使うアプリ: 対象形式の変換が例外にならないか、更新前にテスト環境で検証する
3. どうしても該当形式が必要な場合: イニシャライザ（例: config/initializers/active_storage.rb）で必要なローダー/セイバーを再有効化する
4. 影響がない（JPEG/PNG/WebP のみ等）と確認できれば、通常のパッチ同様に安全に適用できる

アップデート方法

# Gemfile のバージョンを更新
bundle update rails

# バージョン確認
bin/rails --version

データソース: GitHub Releases API, npm Registry, PyPI AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。