У Ghostscript виправили критичну вразливість для атак через PDF
У Ghostscript виправили CVE-2026-39919 — критичну вразливість, що може дозволити виконання коду через PDF-файли.
У програмі Ghostscript виявили критичну вразливість CVE-2026-39919, яка за певних умов може дозволити віддалене виконання коду через спеціально сформовані PDF-файли. Проблема зачіпає інтерпретатор і рушій рендерингу PostScript та PDF, що застосовується, зокрема, для створення мініатюр, перетворення PDF на зображення й оптимізації файлів.
За даними BleepingComputer, помилку виявили 23 серпня дослідники платформи Wordfence компанії Defiant за допомогою системи Argus на базі штучного інтелекту. Розробник Ghostscript Artifex випустив виправлення 8 вересня у версії 10.08.0, а також переніс патчі до старіших випусків.
Як працює атака
Вразливість є переповненням буфера в купі пам’яті. Шкідливий PDF із зображенням JPEG 2000 може спричинити некоректну обробку зразків із малою глибиною кольору та різною роздільністю компонентів. Дослідники створили два експлойти, які змушували Ghostscript записувати 1024 байти у буфер розміром 256 байтів, пошкоджуючи сусідні ділянки пам’яті.
У середовищах WordPress такий сценарій можливий, коли сайт приймає PDF від користувача і обробляє його для створення попереднього перегляду або мініатюри. PHP-розширення Imagick може викликати ImageMagick, який своєю чергою запускає Ghostscript. Для успішної атаки також потрібні відповідні налаштування програмного забезпечення та невиправлений код декодування в Ghostscript.
Уразливі версії та оновлення
За оцінкою Wordfence, проблема стосується онлайн-систем із Ghostscript версій від 9.21 до 10.07.1, якщо корисне навантаження адаптоване до конкретного середовища. Дослідники перевірили десять Linux-середовищ, зокрема Debian, Ubuntu, Fedora, Alpine та AlmaLinux, а також знімок офіційного Docker-образу WordPress — у всіх виявили уразливий код.
Під час лабораторних тестів спроби запуску експлойтів 10 240 разів проти Linux-пакетів не дали змоги отримати віддалене виконання коду. Водночас на спеціально підготовленому тестовому сервері код виконати вдалося, хоча результат не був стабільним. Wordfence повідомила, що наразі не зафіксувала використання CVE-2026-39919 у реальних атаках.
Адміністраторам WordPress рекомендують через хостинг-провайдера переконатися, що Ghostscript оновлено щонайменше до версії 10.08.0. Для Docker радять перебудувати й повторно розгорнути середовище з оновленим базовим образом. Якщо оновлення неможливе, фахівці рекомендують заблокувати завантаження PDF на сервер або вимкнути рендеринг PDF в ImageMagick.
