Una vulnerabilidad crítica en el motor de interpretación y renderizado de Ghostscript podría permitir la ejecución remota de código en servidores que procesan archivos PDF especialmente diseñados. La vulnerabilidad tiene el identificador CVE-2026-39919 y explota un desbordamiento en la memoria heap al manejar imágenes JPEG 2000 con muestras de baja profundidad y diferencias en la resolución de los componentes.
Investigadores de la plataforma Wordfence, perteneciente a Defiant, descubrieron el fallo el 23 de agosto mediante el sistema Argus, basado en inteligencia artificial. Según las pruebas, el archivo malicioso puede obligar a Ghostscript a escribir 1.024 bytes en un búfer cuyo tamaño no supera los 256 bytes, lo que provoca corrupción de memoria y abre teóricamente el camino a la ejecución remota de código sin autenticación en determinadas circunstancias.
¿Cómo se relaciona el fallo con los sitios de WordPress?
WordPress puede utilizar el complemento PHP Imagick para invocar ImageMagick al crear vistas previas o miniaturas de archivos PDF, mientras que ImageMagick recurre a Ghostscript para realizar el proceso de renderizado. Por ello, la subida de un archivo PDF podría convertirse en un punto de entrada para un ataque si el atacante puede cargar el archivo y el sistema lo procesa automáticamente mediante la cadena de programas afectada.
Wordfence identificó cuatro condiciones principales para que la explotación tenga éxito en entornos de WordPress: permitir al atacante subir un archivo PDF, procesar el archivo para crear una vista previa, que la cadena de procesamiento llegue a Ghostscript con políticas que permitan renderizar PDF y utilizar una versión sin corregir del motor. La compañía explicó que WordPress, en su configuración predeterminada, no permite la subida anónima a la biblioteca multimedia.
Alcance de la vulnerabilidad y resultados de las pruebas
La vulnerabilidad afecta a las versiones de Ghostscript desde la 9.21 hasta la 10.07.1, y no se limita a WordPress; cualquier aplicación que renderice archivos PDF controlados por el usuario mediante las versiones afectadas podría estar en riesgo. Los investigadores probaron entornos Linux que incluían Debian, Ubuntu, Fedora, Alpine y AlmaLinux, además de una imagen oficial de Docker para WordPress, y comprobaron que todos contenían el código afectado.
Los dos intentos de prueba de concepto no lograron ejecutar código de forma remota durante 10.240 intentos en paquetes de Linux dentro de un entorno de laboratorio, pero los investigadores sí consiguieron ejecutar código en un servidor preparado específicamente para las pruebas. Además, el éxito de la explotación dependía de modificaciones en las fuentes, la configuración regional, la configuración tipográfica y una biblioteca básica del sistema, y la ejecución no siempre era fiable.
¿Qué deberían hacer los operadores?
Artifex publicó la corrección el 8 de septiembre con Ghostscript 10.08.0, y las correcciones también se trasladaron a versiones anteriores. Los administradores de WordPress deberían comprobar que su proveedor de alojamiento utiliza la versión 10.08.0 o posterior, así como reconstruir y volver a desplegar las imágenes de Docker que dependan de bases antiguas.
Si no es posible actualizar, las directrices recomiendan bloquear la subida de archivos PDF al servidor o desactivar el renderizado de PDF en ImageMagick. Hasta el momento de preparar el informe, Wordfence afirmó que no había detectado la explotación de la vulnerabilidad en ataques reales.
¿Por qué importa esta noticia?
La importancia del fallo reside en que un archivo PDF, que parece una entrada de contenido y no un programa, puede llegar a un componente nativo con permisos de procesamiento en el servidor. La existencia de la vulnerabilidad no significa que todos los sitios de WordPress sean automáticamente vulnerables, ya que el riesgo depende de la ruta de subida y procesamiento, de la configuración de las políticas y de la versión utilizada; sin embargo, estas condiciones hacen que actualizar Ghostscript y desactivar la ruta cuando no sea posible actualizar sean dos medidas directas para reducir la superficie de ataque.