Критична уязвимост в Ghostscript позволява на атакуващи да използват злонамерени PDF файлове за изпълнение на код

Критична уязвимост в Ghostscript би могла да позволи на атакуващи да използват специално създадени PDF файлове, за да изпълняват код на уязвими сървъри.

Уязвимостта, проследявана като CVE-2026-39919, засяга версии на Ghostscript преди 10.08.0 и има оценка за тежест по CVSS 9.8 от 10. Ghostscript се използва широко за визуализиране на PDF файлове, създаване на миниатюри на документи и конвертиране на PostScript файлове в изображения.

Проблемът е особено важен за уебсайтове и услуги, които приемат качени PDF файлове. Сайтове на WordPress, портали за документи, услуги за печат, имейл шлюзове, платформи за фактуриране и API за конвертиране на файлове могат да извикват Ghostscript във фонов режим, когато обработват предоставени от потребителите файлове.

Следователно злонамерен PDF файл може да достигне до уязвимия компонент дори когато основното приложение няма директен код, свързан с Ghostscript.

Изследователи от Wordfence идентифицираха уязвимостта по време на оценка на сигурността на WordPress 7.1, използвайки своята система за тестване Argus.

Това не е кампания със зловреден софтуер и изследователите не съобщават за активна злоупотреба в реална среда. Вместо това констатацията показва как манипулиран PDF файл може да предизвика повреда на паметта и при определени сървърни компилации да доведе до отдалечено изпълнение на код без автентикация.

Wordfence докладва за дефекта на Artifex на 23 август, а разработчикът го потвърди на следващия ден, преди да пусне корекция за сигурност на 8 септември.

Критична уязвимост в Ghostscript

CVE-2026-39919 представлява препълване на буфера в динамичната памет (heap-based buffer overflow) в модула за декодиране на JPEG 2000 изображения на Ghostscript. Проблемът възниква, когато Ghostscript обработва PDF файл, съдържащ JPEG 2000 изображение с необичайни настройки за разделителна способност на компонентите и стойности на извадките под един байт.

Казано по-просто, програмата заделя твърде малко памет за графичните данни и след това записва повече данни, отколкото заделеният буфер може да побере.

Тези допълнителни данни могат да презапишат съседна памет, използвана от Ghostscript. В контролирана тестова среда на WordPress изследователите от Wordfence демонстрираха, че тази повреда на паметта може да бъде развита до отдалечено изпълнение на код.

Кодът би се изпълнил с правата, присвоени на акаунта, който обработва PDF файла, като например потребител на уеб сървъра или PHP-FPM, вместо автоматично да получава root достъп.

Публичният запис за уязвимостта в NVD я определя като препълване на буфера в динамичната памет и отбелязва, че манипулирано съдържание на JPEG 2000 в PDF файл може да повреди паметта.

Рискът възниква, когато дадено приложение приеме PDF файл и се опита да създаде предварителен преглед или миниатюра. При много конфигурации на WordPress веригата е WordPress, Imagick, ImageMagick и след това Ghostscript. Сайтът може да изглежда така, сякаш обработва нормално качване на документ, но Ghostscript е инструментът от по-ниско ниво, който чете файла.

Поради тази причина проблемът се различава от по-ранната уязвимост за изпълнение на код в WordPress Imagick, при която валидацията на качванията в WordPress можеше да бъде заобиколена със съдържание, маскирано като изображение. В този случай самата грешка в паметта се намира вътре в Ghostscript.

Засегнати версии и реален риск

Уязвимият код е въведен в Ghostscript 9.21 и засяга основните (upstream) версии до 10.07.1. Artifex отстрани проблема в Ghostscript 10.08.0, а официалната страница на Ghostscript за CVE потвърждава, че CVE-2026-39919 е коригирана в тази версия.

Въпреки това дистрибуторите на Linux могат да пренесат корекцията към пакет с по-стара номерация на версията, което означава, че само проверката с gs --version може да не е достатъчно доказателство дали даден сървър е защитен.

Wordfence тества десет пакетни среди, включително Debian, Ubuntu, Fedora, AlmaLinux, Alpine Linux и официален Docker образ на WordPress. По време на тестовете си на 15 септември изследователите откриха уязвими компилации във всички тези среди.

Техните файлове за доказване на концепцията (proof-of-concept) не сработиха без промяна на всички системи, което означава, че няма данни за един универсален PDF файл, способен да компрометира всеки сървър. Въпреки това експлойт, адаптиран за конкретна компилация, продължи да работи на системи, споделящи един и същ изпълним файл на Ghostscript.

Този резултат е важен за хостинг доставчиците и компаниите, които внедряват множество сървъри от един контейнерен образ. За злонамерен субект може да не е необходим PDF, който да работи навсякъде, ако няколко цели използват една и съща уязвима компилация.

Опасението е аналогично на неотдавнашното изследване за злонамерени HEIC изображения, което показа как базовите библиотеки за обработка на мултимедия могат да изложат на риск сървъри с WordPress, когато качените файлове достигнат до уязвими декодери.

Организациите трябва да инсталират коригирания пакет на Ghostscript, предоставен от техния доставчик на операционна система или хостинг доставчик. Екипите, използващи контейнери, трябва да преизградят образите от обновен базов образ и да ги разгърнат отново, вместо просто да рестартират съществуващ контейнер.

Потребителите на управлявани (managed) WordPress услуги трябва да попитат своя хостинг доставчик дали неговият Ghostscript пакет включва корекцията за сигурност за CVE-2026-39919 и дали качените PDF файлове се конвертират за предварителен преглед.

Когато обновленията не могат да бъдат инсталирани незабавно, администраторите трябва да спрат качването на PDF файлове от ненадеждни потребители или да деактивират обработката на PDF чрез настройките на правилата на ImageMagick.

Ограниченията на честотата на заявките и лимитите за качване могат да намалят повторните опити за обработка, но не отстраняват първопричинната уязвимост. Режимът -dSAFER на Ghostscript също не трябва да се счита за решение, тъй като Wordfence достигна до уязвимия път дори при активирана настройка за изолирана среда.

Инцидентът се нарежда сред нарастващия брой доказателства, че услугите за конвертиране на документи и изображения изискват внимателен преглед. Веригата за обработка на изображения в Discourse наскоро показа как Ghostscript и ImageMagick могат да станат част от по-широк рисков път при обработката на файлове.

Същевременно изследване на експлойти за декодери с помощта на Claude демонстрира как дефекти в мултимедийни библиотеки могат да бъдат пригодени за реални работни среди.

Индикатори за компрометиране (IoC):-

Забележка: IP адресите и домейните умишлено са обезвредени (напр. [.]), за да се предотврати случайно разрешаване на адреси или създаване на хипервръзки. Възстановете оригиналния им вид само в контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.