Une vulnérabilité critique dans le moteur d’interprétation et de rendu Ghostscript pourrait permettre l’exécution de code à distance sur les serveurs qui traitent des fichiers PDF spécialement conçus. Référencée sous le numéro CVE-2026-39919, la vulnérabilité exploite un dépassement de mémoire dans le tas lors du traitement d’images JPEG 2000 présentant des échantillons de faible profondeur et des différences de résolution entre les composants.
Des chercheurs de la plateforme Wordfence, filiale de Defiant, ont découvert la faille le 23 août à l’aide du système Argus reposant sur l’intelligence artificielle. Selon les tests, le fichier malveillant peut contraindre Ghostscript à écrire 1 024 octets dans un tampon dont la taille ne dépasse pas 256 octets, ce qui entraîne une corruption de la mémoire et ouvre théoriquement la voie à l’exécution de code à distance sans authentification dans certaines conditions.
Quel est le lien entre la faille et les sites WordPress ?
WordPress peut utiliser l’extension PHP Imagick pour appeler ImageMagick lors de la création d’aperçus ou de miniatures de fichiers PDF, tandis qu’ImageMagick s’appuie sur Ghostscript pour effectuer le rendu. Ainsi, le téléversement d’un fichier PDF peut devenir un point d’entrée pour une attaque si l’attaquant est en mesure de téléverser le fichier et si le système le traite automatiquement par l’intermédiaire de la chaîne de logiciels concernée.
Wordfence a identifié quatre conditions principales nécessaires à la réussite de l’exploitation dans les environnements WordPress : autoriser l’attaquant à téléverser un fichier PDF, traiter le fichier pour créer un aperçu, permettre à la chaîne de traitement d’accéder à Ghostscript avec des politiques autorisant le rendu des PDF, et utiliser une version non corrigée du moteur. L’entreprise a précisé que WordPress, dans sa configuration par défaut, n’autorise pas le téléversement anonyme vers la bibliothèque de médias.
Étendue de l’impact et résultats des tests
Les versions de Ghostscript allant de 9.21 à 10.07.1 sont concernées, et le problème ne se limite pas à WordPress : toute application qui rend des fichiers PDF contrôlés par l’utilisateur au moyen des versions concernées peut être exposée. Les chercheurs ont testé des environnements Linux comprenant Debian, Ubuntu, Fedora, Alpine et AlmaLinux, ainsi qu’une image Docker officielle de WordPress, et ont constaté que tous contenaient le code vulnérable.
Les deux tentatives de preuve de concept n’ont pas permis d’exécuter du code à distance au cours de 10 240 tentatives sur des paquets Linux dans un environnement de laboratoire, mais les chercheurs ont réussi à exécuter du code sur un serveur spécialement configuré pour les tests. La réussite de l’exploitation dépendait également de modifications des polices, des paramètres de langue, de la configuration des polices et d’une bibliothèque système de base, et l’exécution n’était pas toujours fiable.
Que doivent faire les opérateurs ?
Artifex a publié le correctif le 8 septembre dans Ghostscript 10.08.0, et les correctifs ont également été rétroportés vers des versions plus anciennes. Les administrateurs WordPress doivent vérifier que leur hébergeur utilise la version 10.08.0 ou une version ultérieure, et reconstruire puis déployer les images Docker qui reposent sur d’anciennes bases.
Si la mise à jour est impossible, les recommandations préconisent de bloquer le téléversement de fichiers PDF vers le serveur ou de désactiver le rendu des PDF dans ImageMagick. Au moment de la rédaction du rapport, Wordfence a déclaré n’avoir détecté aucune exploitation de la vulnérabilité dans des attaques réelles.
Pourquoi cette information est-elle importante ?
L’importance de cette faille tient au fait qu’un fichier PDF, qui semble être une entrée de contenu plutôt qu’un programme, peut parvenir jusqu’à un composant natif disposant de privilèges de traitement sur le serveur. La présence de la vulnérabilité ne signifie pas que tous les sites WordPress sont automatiquement exploitables, car le risque dépend du parcours de téléversement et de traitement, des paramètres de politique et de la version utilisée. Toutefois, ces conditions font de la mise à jour de Ghostscript et de la désactivation du parcours concerné, lorsque la mise à jour est impossible, deux mesures directes pour réduire la surface d’attaque.