Ghostscript CVE-2026-39919: un PDF malițios poate duce la execuție de cod pe server

Dacă site-ul, portalul sau API-ul tău generează previzualizări sau miniaturi pentru PDF-urile încărcate, foarte probabil Ghostscript face această treabă în fundal. O vulnerabilitate publicată recent, CVE-2026-39919 (CVSS 9.8), face posibil ca un PDF construit special să corupă memoria Ghostscript și, pe anumite build-uri de server, să permită execuție de cod fără autentificare.

Ce s-a întâmplat

Cercetătorii Wordfence au găsit problema în timpul unei evaluări de securitate pentru WordPress 7.1. Defectul se află în codul de decodare JPEG 2000 din Ghostscript. Un PDF care conține o imagine JPEG 2000 cu setări neobișnuite de rezoluție a componentelor și valori de eșantion sub un octet face ca Ghostscript să aloce un buffer prea mic. Apoi scrie mai multe date decât încap în el: un clasic heap-based buffer overflow.

Versiuni afectate: Ghostscript upstream 9.21 – 10.07.1 (codul vulnerabil a apărut în 9.21).
Remediere: Ghostscript 10.08.0, lansat de Artifex pe 8 septembrie, după ce Wordfence a raportat problema pe 23 august.
Exploatare: nu s-a raportat exploatare activă și nici vreo campanie malware. Execuția de cod a fost demonstrată într-un mediu de test WordPress controlat.

Calea tipică de atac este previzualizarea documentelor. Pe multe site-uri WordPress, un PDF încărcat trece din WordPress în Imagick, apoi în ImageMagick și ajunge la Ghostscript. Aplicația nu apelează Ghostscript direct, dar tot îi trimite fișierul atacatorului decodorului vulnerabil.

De ce contează

Expunerea depășește WordPress. Portalurile de documente, serviciile de printare, gateway-urile de e-mail, platformele de facturare și API-urile de conversie folosesc adesea Ghostscript fără să o spună.
Versiunea afișată poate înșela. Distribuțiile Linux portează adesea remedierile în pachete mai vechi (backport), deci gs --version nu arată singur dacă serverul e protejat. Verifică buletinul de securitate al distribuției pentru build-ul pe care îl rulezi.
Riscul se multiplică în infrastructuri uniforme. Wordfence a găsit build-uri vulnerabile în toate cele zece medii testate, inclusiv Debian, Ubuntu, Fedora, AlmaLinux, Alpine și imaginea Docker oficială WordPress. PoC-ul a trebuit adaptat pentru fiecare build, deci nu există dovezi ale unui PDF „universal”. Însă un exploit care merge pe un build ar trebui să meargă pe toate serverele cu același executabil. Asta contează pentru furnizorii de hosting și pentru oricine rulează multe servere din aceeași imagine de container.
Impact limitat, dar serios. Codul rulează cu drepturile contului care procesează fișierul, de exemplu utilizatorul serverului web sau PHP-FPM, nu cu drepturi de root. Chiar și așa, un atacator poate modifica site-ul, poate fura datele la care are acces aplicația sau poate înainta în rețea.

Ce trebuie făcut

Actualizează prin furnizor. Instalează pachetul Ghostscript remediat de la furnizorul sistemului de operare sau de hosting (10.08.0 upstream sau un build cu remedierea portată).
Reconstruiește containerele, nu doar le reporni. Reconstruiește imaginile dintr-o imagine de bază actualizată și redeployează-le. Un restart păstrează binarul vulnerabil.
Întreabă furnizorul de hosting. Pe WordPress administrat, întreabă dacă pachetul Ghostscript include remedierea pentru CVE-2026-39919 și dacă PDF-urile încărcate sunt transformate în previzualizări.
Măsuri temporare. Dacă nu poți actualiza imediat, nu mai permite utilizatorilor neverificați să încarce PDF-uri sau dezactivează procesarea PDF din policy.xml al ImageMagick.
Fără liniștiri false. Limitarea ratei și a dimensiunii fișierelor reduce încercările, dar nu elimină defectul. Modul -dSAFER din Ghostscript nu este o remediere: calea vulnerabilă a fost atinsă cu el activat.
Monitorizează fluxul de fișiere. Nu au fost publicați indicatori (hash-uri, nume de fișiere, infrastructură C2), deci nu bloca pe baza unor indicatori neverificați. Verifică în schimb jurnalele web și de upload pentru PDF-uri neașteptate și pentru creșteri ale erorilor de conversie.

Nu știi unde rulează Ghostscript la tine? O analiză a dependențelor și a suprafeței de atac găsește fiecare serviciu care convertește fișierele utilizatorilor. Aceste fluxuri sunt ușor de uitat, iar bug-uri ca acesta le țintesc exact pe ele.

Credit: subiectul a fost relatat inițial de Cyber Security News; cercetarea aparține echipei Wordfence. Referință tehnică: NVD — CVE-2026-39919.