Ghostscript의 해석 및 렌더링 엔진에 존재하는 치명적 취약점으로 인해 특별히 조작된 PDF 파일을 처리하는 서버에서 원격 코드가 실행될 수 있습니다. 이 취약점은 CVE-2026-39919로 식별되며, 낮은 비트 깊이의 샘플과 구성 요소 해상도의 차이가 있는 JPEG 2000 이미지를 처리하는 과정에서 발생하는 heap 메모리 초과 쓰기를 악용합니다.
Defiant 산하 Wordfence 플랫폼의 연구원들은 인공지능 기반 Argus 시스템을 사용해 8월 23일 이 결함을 발견했습니다. 테스트에 따르면 악성 파일은 Ghostscript가 크기가 256바이트에 불과한 버퍼에 1,024바이트를 쓰도록 강제할 수 있으며, 이로 인해 메모리가 손상되고 특정 조건에서 인증 없이 원격 코드를 실행할 수 있는 이론적 가능성이 열립니다.
이 결함은 WordPress 사이트와 어떻게 관련되는가?
WordPress는 PDF 파일의 미리보기나 썸네일을 생성할 때 PHP Imagick 확장을 사용해 ImageMagick을 호출할 수 있으며, ImageMagick은 렌더링 작업을 수행하기 위해 Ghostscript를 사용합니다. 따라서 공격자가 파일을 업로드할 수 있고 시스템이 영향을 받는 프로그램 체인을 통해 해당 파일을 자동으로 처리한다면 PDF 파일 업로드가 공격 진입점이 될 수 있습니다.
Wordfence는 WordPress 환경에서 악용이 성공하기 위한 네 가지 주요 조건을 제시했습니다. 공격자가 PDF 파일을 업로드할 수 있어야 하고, 미리보기를 생성하기 위해 파일이 처리되어야 하며, PDF 렌더링을 허용하는 정책과 함께 처리 체인이 Ghostscript에 도달해야 하고, 패치되지 않은 엔진 버전을 사용해야 합니다. 또한 기본 설정의 WordPress는 미디어 라이브러리에 대한 익명 업로드를 허용하지 않는다고 설명했습니다.
영향 범위와 테스트 결과
영향 범위는 Ghostscript 9.21부터 10.07.1까지의 버전에 걸쳐 있으며 WordPress에만 국한되지 않습니다. 영향을 받는 버전을 통해 사용자가 제어하는 PDF 파일을 렌더링하는 모든 애플리케이션이 위험에 노출될 수 있습니다. 연구원들은 Debian, Ubuntu, Fedora, Alpine, AlmaLinux를 포함한 Linux 환경과 공식 WordPress Docker 이미지를 테스트했으며, 모두 손상된 코드를 포함하고 있음을 확인했습니다.
개념 증명 두 건은 실험실 환경의 Linux 패키지에서 10,240번 시도하는 동안 원격 코드 실행에 성공하지 못했지만, 연구원들은 테스트를 위해 특별히 구성한 서버에서는 코드 실행에 성공했습니다. 또한 악용 성공 여부는 글꼴 수정, 언어 설정, 글꼴 구성 및 기본 시스템 라이브러리에 따라 달라졌으며, 실행이 항상 안정적으로 이루어진 것은 아니었습니다.
운영자는 무엇을 해야 하는가?
Artifex는 9월 8일 Ghostscript 10.08.0에 패치를 배포했으며, 이전 버전에도 수정 사항을 백포트했습니다. WordPress 관리자는 호스팅 제공업체가 10.08.0 이상 버전을 사용하는지 확인하고, 오래된 기반 이미지에 의존하는 Docker 이미지를 다시 빌드해 배포해야 합니다.
업데이트가 불가능하다면 PDF 파일의 서버 업로드를 차단하거나 ImageMagick에서 PDF 렌더링을 비활성화할 것을 지침은 권고합니다. 보고서 작성 시점까지 Wordfence는 실제 공격에서 이 취약점이 악용된 사례를 관찰하지 못했다고 밝혔습니다.
이 소식이 중요한 이유
이 결함이 중요한 이유는 프로그램이 아니라 콘텐츠 입력으로 보이는 PDF 파일이 서버에서 처리 권한을 가진 네이티브 구성 요소에 도달할 수 있기 때문입니다. 취약점이 존재한다고 해서 모든 WordPress 사이트가 자동으로 침해 가능한 것은 아닙니다. 위험은 업로드 및 처리 경로, 정책 설정, 사용 중인 버전에 따라 달라집니다. 그러나 이러한 조건 때문에 Ghostscript를 업데이트하고, 업데이트가 불가능할 때 해당 경로를 비활성화하는 것은 공격 표면을 줄이는 직접적인 조치입니다.