Уязвимость Ghostscript затрагивает версии с 9.21 по 10.07.1

Исправление вышло 8 сентября. Безопасность конкретного сервера зависит от установленного пакета и настроек обработки PDF.

Уязвимость получила обозначение CVE-2026-39919 и оценку 9,8 из 10 по шкале CVSS. Ghostscript обрабатывает PDF и PostScript, а также участвует в создании изображений и миниатюр документов. Сбой возникает при разборе изображения JPEG 2000 внутри PDF: сочетание малой разрядности данных и различающихся разрешений компонентов приводит к ошибке в расчёте памяти. В результате программа может записать данные за пределами выделенного буфера.

Исследователи создали два демонстрационных файла, которые заставляли программу записывать 1024 байта в буфер размером 256 байт. Повреждение соседней области памяти удалось использовать для запуска кода в специально подготовленной тестовой среде WordPress. Код выполняется с правами учётной записи, обрабатывающей PDF, например пользователя веб-сервера или PHP-FPM. Уязвимость сама по себе не даёт прав администратора системы.

При создании миниатюры WordPress может обращаться к расширению Imagick, затем к ImageMagick и через него к уязвимому компоненту. Поэтому приложение, принимающее загрузку, не обязано напрямую вызывать его. Проверять такую цепочку обработки нужно не только на сайтах WordPress: программа может использоваться в сервисах документов, печати и преобразования файлов.

Уязвимость Ghostscript: результаты испытаний и условия атаки

Уязвимый код присутствует в Ghostscript начиная с версии 9.21 и до 10.07.1 включительно. Wordfence проверила десять сред Linux, среди них Debian, Ubuntu, Fedora, Alpine Linux и AlmaLinux, а также образ WordPress для Docker. Во всех проверенных средах исследователи нашли уязвимый код. Однако его наличие ещё не означает, что один и тот же PDF позволит выполнить команду на каждом сервере.

В лабораторных испытаниях исследователи запускали свои файлы 10 240 раз против пакетов Linux, но не добились удалённого выполнения кода. На специально подготовленном тестовом сервере атака сработала. Для этого пришлось изменить шрифты и языковые настройки PDF, конфигурацию шрифтов и одну системную библиотеку. Даже после изменений результат не был надёжным, а демонстрационные файлы не работали без доработки во всех средах.

Для атаки на WordPress должны одновременно выполняться четыре условия: злоумышленник может загрузить PDF, сайт создаёт для него превью или миниатюру, обработка доходит до Ghostscript, а установленная версия содержит уязвимый код. Загрузка возможна как без входа в учётную запись, так и с правами пользователя низкого уровня, если это допускает конкретный сайт. Wordfence подчёркивает, что WordPress в стандартной настройке не разрешает анонимно загружать файлы в медиатеку. Для других приложений необходимость авторизации также определяется настройками.

Исправление и проверка серверов

Wordfence обнаружила проблему 23 августа с помощью системы тестирования Argus и сообщила о ней разработчику, компании Artifex. Та подтвердила уязвимость на следующий день и выпустила исправление в версии 10.08.0 8 сентября. Патч также перенесли в некоторые более старые ветки. Поэтому номер версии, который показывает команда gs —version, не всегда позволяет определить, исправлен ли пакет: нужно проверять сведения об обновлении у поставщика дистрибутива или хостинга.

Администраторам WordPress рекомендуют уточнить у хостинг-провайдера, исправлен ли компонент и создаёт ли сайт превью для загруженных PDF. Для контейнеров потребуется собрать и развернуть новый образ с обновлённой базой, а не просто перезапустить работающий контейнер. Если установить исправление сразу нельзя, исследователи советуют запретить загрузку PDF на сервер или отключить их обработку через ImageMagick. Ограничения на частоту и количество загрузок могут сократить число попыток обработки, но не устраняют саму ошибку.

Режим Ghostscript -dSAFER тоже не заменяет исправление: Wordfence смогла добраться до уязвимого участка кода при включённой настройке. Исследователи не наблюдали использования CVE-2026-39919 в реальных атаках.