قد تتيح ثغرة حرجة في محرك تفسير وعرض Ghostscript تنفيذ شيفرة عن بُعد على الخوادم التي تعالج ملفات PDF معدة خصيصاً. تحمل الثغرة رقم CVE-2026-39919، وتستغل تجاوزاً في ذاكرة heap أثناء التعامل مع صور JPEG 2000 ذات عينات منخفضة العمق واختلافات في دقة المكونات.
اكتشف باحثون من منصة Wordfence التابعة لـ Defiant الخلل في 23 أغسطس باستخدام نظام Argus المدعوم بالذكاء الاصطناعي. وبحسب الاختبارات، يمكن للملف الخبيث إجبار Ghostscript على كتابة 1,024 بايت في مخزن مؤقت لا يتجاوز حجمه 256 بايت، ما يؤدي إلى إفساد الذاكرة ويفتح الطريق نظرياً أمام تنفيذ شيفرة عن بُعد دون مصادقة في ظروف معينة.
كيف يرتبط الخلل بمواقع WordPress؟
يمكن لـ WordPress استخدام إضافة PHP Imagick لاستدعاء ImageMagick عند إنشاء معاينات أو صور مصغرة لملفات PDF، بينما يستعين ImageMagick بـ Ghostscript لتنفيذ عملية العرض. لذلك قد يصبح رفع ملف PDF نقطة دخول للهجوم إذا كان المهاجم قادراً على تحميل الملف، وكان النظام يعالجه تلقائياً عبر سلسلة البرامج المتأثرة.
حددت Wordfence أربعة شروط رئيسية لنجاح الاستغلال في بيئات WordPress: السماح للمهاجم برفع ملف PDF، ومعالجة الملف لإنشاء معاينة، ووصول سلسلة المعالجة إلى Ghostscript مع سياسات تسمح بعرض PDF، إضافة إلى استخدام نسخة غير مصححة من المحرك. وأوضحت أن WordPress في إعداداته الافتراضية لا يسمح بالرفع المجهول إلى مكتبة الوسائط.
نطاق التأثر ونتائج الاختبارات
يمتد التأثر إلى الإصدارات من Ghostscript 9.21 حتى 10.07.1، ولا يقتصر على WordPress؛ فأي تطبيق يعرض ملفات PDF يسيطر عليها المستخدم عبر الإصدارات المتأثرة قد يكون معرضاً للخطر. اختبر الباحثون بيئات Linux تشمل Debian وUbuntu وFedora وAlpine وAlmaLinux، إضافة إلى صورة Docker رسمية لـ WordPress، ووجدوا أن جميعها احتوت على الشيفرة المتضررة.
لم تنجح محاولتا إثبات المفهوم في تنفيذ شيفرة عن بُعد خلال 10,240 محاولة على حزم Linux في بيئة مختبرية، لكن الباحثين نجحوا في تنفيذ الشيفرة على خادم أُعد خصيصاً للاختبار. كما اعتمد نجاح الاستغلال على تعديلات في الخطوط وإعدادات اللغة وتكوين الخطوط ومكتبة نظام أساسية، ولم يكن التنفيذ موثوقاً دائماً.
ما الذي ينبغي على المشغلين فعله؟
أصدرت Artifex الإصلاح في 8 سبتمبر ضمن Ghostscript 10.08.0، كما أُعيد نقل الإصلاحات إلى إصدارات أقدم. ينبغي لمسؤولي WordPress التحقق من أن مزود الاستضافة يستخدم الإصدار 10.08.0 أو أحدث، وإعادة بناء ونشر صور Docker التي تعتمد على قواعد قديمة.
إذا تعذر التحديث، توصي الإرشادات بحظر رفع ملفات PDF إلى الخادم أو تعطيل عرض PDF في ImageMagick. وحتى وقت إعداد التقرير، قالت Wordfence إنها لم ترصد استغلالاً للثغرة في هجمات حقيقية.
لماذا يهم هذا الخبر؟
تكمن أهمية الخلل في أن ملف PDF، الذي يبدو كمدخل للمحتوى لا كبرنامج، قد يصل إلى مكوّن أصلي يملك صلاحيات معالجة على الخادم. ولا يعني وجود الثغرة أن كل موقع WordPress قابل للاختراق تلقائياً، إذ يعتمد الخطر على مسار الرفع والمعالجة وإعدادات السياسة والإصدار المستخدم، لكن هذه الشروط تجعل تحديث Ghostscript وتعطيل المسار عند تعذر التحديث إجراءين مباشرين لتقليص سطح الهجوم.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.