У програмі Ghostscript виявили критичну вразливість CVE-2026-39919, яка за певних умов може дозволити віддалене виконання коду через спеціально сформовані PDF-файли. Проблема зачіпає інтерпретатор і рушій рендерингу PostScript та PDF, що застосовується, зокрема, для створення мініатюр, перетворення PDF на зображення й оптимізації файлів.
За даними BleepingComputer, помилку виявили 23 серпня дослідники платформи Wordfence компанії Defiant за допомогою системи Argus на базі штучного інтелекту. Розробник Ghostscript Artifex випустив виправлення 8 вересня у версії 10.08.0, а також переніс патчі до старіших випусків.
Як працює атакаВразливість є переповненням буфера в купі пам’яті. Шкідливий PDF із зображенням JPEG 2000 може спричинити некоректну обробку зразків із малою глибиною кольору та різною роздільністю компонентів. Дослідники створили два експлойти, які змушували Ghostscript записувати 1024 байти у буфер розміром 256 байтів, пошкоджуючи сусідні ділянки пам’яті.
У середовищах WordPress такий сценарій можливий, коли сайт приймає PDF від користувача і обробляє його для створення попереднього перегляду або мініатюри.
PHP-розширення Imagick може викликати ImageMagick, який своєю чергою запускає Ghostscript. Для успішної атаки також потрібні відповідні налаштування програмного забезпечення та невиправлений код декодування в Ghostscript.
Уразливі версії та оновленняЗа оцінкою Wordfence, проблема стосується онлайн-систем із Ghostscript версій від 9.21 до 10.07.1, якщо корисне навантаження адаптоване до конкретного середовища. Дослідники перевірили десять Linux-середовищ, зокрема Debian, Ubuntu, Fedora, Alpine та AlmaLinux, а також знімок офіційного Docker-образу WordPress — у всіх виявили уразливий код.
Під час лабораторних тестів спроби запуску експлойтів 10 240 разів проти Linux-пакетів не дали змоги отримати віддалене виконання коду. Водночас на спеціально підготовленому тестовому сервері код виконати вдалося, хоча результат не був стабільним. Wordfence повідомила, що наразі не зафіксувала використання CVE-2026-39919 у реальних атаках.
Адміністраторам WordPress рекомендують через хостинг-провайдера переконатися, що Ghostscript оновлено щонайменше до версії 10.08.0. Для Docker радять перебудувати й повторно розгорнути середовище з оновленим базовим образом. Якщо оновлення неможливе, фахівці рекомендують заблокувати завантаження PDF на сервер або вимкнути рендеринг PDF в ImageMagick.
