Ghostscriptの解釈・レンダリングエンジンに存在する重大な脆弱性により、細工されたPDFファイルを処理するサーバー上でリモートコード実行が可能になるおそれがあります。この脆弱性にはCVE-2026-39919という番号が付与されており、低ビット深度のサンプルとコンポーネント間の解像度の違いを持つJPEG 2000画像を処理する際のヒープメモリのオーバーフローを悪用します。
Defiant傘下のWordfenceプラットフォームの研究者は、AIを活用したArgusシステムを使用して、8月23日にこの欠陥を発見しました。テストによると、悪意のあるファイルによってGhostscriptは、サイズが256バイトにすぎないバッファへ1,024バイトを書き込むよう強制される可能性があります。これによりメモリ破壊が発生し、特定の条件下では認証なしのリモートコード実行につながる理論上の可能性が生じます。
この欠陥はWordPressサイトとどのように関係するのか？
WordPressは、PDFファイルのプレビューやサムネイルを作成する際に、PHP拡張機能のImagickを使ってImageMagickを呼び出すことがあります。一方、ImageMagickはレンダリング処理にGhostscriptを使用します。そのため、攻撃者がファイルをアップロードでき、影響を受けるプログラムの連鎖を通じてシステムがそのファイルを自動的に処理する場合、PDFファイルのアップロードが攻撃の侵入口になる可能性があります。
Wordfenceは、WordPress環境で悪用を成功させるための主な条件を4つ挙げています。攻撃者がPDFファイルをアップロードできること、プレビューを作成するためにファイルが処理されること、PDFのレンダリングを許可するポリシーの下で処理チェーンがGhostscriptに到達すること、そしてエンジンの未修正版を使用していることです。また、WordPressはデフォルト設定では、メディアライブラリへの匿名アップロードを許可していないと説明しています。
影響範囲とテスト結果
影響を受けるのはGhostscript 9.21から10.07.1までのバージョンであり、WordPressに限定されません。影響を受けるバージョンを通じて、ユーザーが管理するPDFファイルをレンダリングするアプリケーションは、危険にさらされる可能性があります。研究者は、Debian、Ubuntu、Fedora、Alpine、AlmaLinuxを含むLinux環境に加え、公式のWordPress Dockerイメージをテストし、いずれにも影響を受けるコードが含まれていることを確認しました。
概念実証コードの2つの試みは、ラボ環境のLinuxパッケージに対する10,240回の試行中、リモートコード実行には成功しませんでした。しかし研究者は、テスト専用に構成したサーバー上でコードの実行に成功しました。さらに、悪用の成否はフォントの変更、言語設定、フォント構成、基本システムライブラリに依存しており、実行が常に信頼できるものではありませんでした。
運用者は何をすべきか？
Artifexは9月8日、Ghostscript 10.08.0で修正をリリースし、旧バージョンにも修正をバックポートしました。WordPress管理者は、ホスティングプロバイダーがバージョン10.08.0以降を使用していることを確認し、古いベースに依存するDockerイメージを再ビルドしてデプロイすべきです。
更新できない場合、ガイダンスではサーバーへのPDFファイルのアップロードをブロックするか、ImageMagickでのPDFレンダリングを無効にすることを推奨しています。記事作成時点で、Wordfenceは実際の攻撃におけるこの脆弱性の悪用を確認していないと述べています。
なぜこのニュースが重要なのか？
この欠陥が重要なのは、プログラムではなくコンテンツの入力に見えるPDFファイルが、サーバー上で処理権限を持つネイティブコンポーネントに到達する可能性があるためです。脆弱性が存在するからといって、すべてのWordPressサイトが自動的に侵害可能になるわけではありません。リスクは、アップロードと処理の経路、ポリシー設定、使用中のバージョンに左右されます。しかし、これらの条件があるため、Ghostscriptを更新し、更新できない場合はその経路を無効にすることが、攻撃対象領域を縮小するための直接的な対策となります。