Ghostscript, программа для обработки PDF и PostScript, получила исправление уязвимости, которая позволяет специально подготовленному PDF повредить память и при определённых условиях запустить посторонний код. Риск возникает, если сервер передаёт загруженный файл Ghostscript для преобразования или создания превью.
Уязвимость зарегистрирована как CVE-2026-39919. Ошибка связана с обработкой изображения JPEG 2000 внутри PDF. Запись данных за пределами выделенного буфера может вызвать сбой или выполнение кода с правами процесса, обрабатывающего документ.
Исследователи Wordfence изучали сценарий с WordPress. При создании миниатюры расширение Imagick может передать PDF программе ImageMagick, которая запускает Ghostscript. Для атаки пользователь должен иметь возможность загрузить PDF, а сервер должен автоматически обработать его уязвимой версией программы. Стандартная установка WordPress не разрешает анонимные загрузки в медиатеку, однако такую возможность могут добавлять формы, личные кабинеты и плагины.
Исследователи добились удалённого выполнения кода на специально подготовленном сервере. На других сборках Linux 10 240 попыток не привели к захвату системы, поэтому результат зависит от окружения. На 13 октября Wordfence не наблюдала применения уязвимости в реальных атаках.
Проблема присутствует в Ghostscript до версии 10.08.0, выпущенной с исправлением 8 сентября. Дистрибутивы Linux могут переносить исправление в старые версии, поэтому проверять нужно полную ревизию установленного пакета и бюллетень поставщика, а не только результат команды gs --version.
Что это значит
- Проверьте, принимают ли ваши сайты и внутренние системы PDF и передают ли их Ghostscript напрямую либо через Imagick и ImageMagick.
- Установите Ghostscript 10.08.0 или исправленный пакет дистрибутива. Контейнеры нужно пересобрать и развернуть заново на обновлённом базовом образе.
- Если обновление пока невозможно, временно запретите загрузку PDF от недоверенных пользователей или отключите их обработку в ImageMagick.