Uma vulnerabilidade crítica no mecanismo de interpretação e renderização do Ghostscript pode permitir a execução remota de código em servidores que processam arquivos PDF especialmente elaborados. A vulnerabilidade recebeu o identificador CVE-2026-39919 e explora um estouro de memória heap durante o processamento de imagens JPEG 2000 com amostras de baixa profundidade e diferenças na resolução dos componentes.
Pesquisadores da plataforma Wordfence, pertencente à Defiant, descobriram a falha em 23 de agosto usando o sistema Argus, baseado em inteligência artificial. De acordo com os testes, o arquivo malicioso pode forçar o Ghostscript a escrever 1.024 bytes em um buffer com capacidade de apenas 256 bytes, causando corrupção de memória e abrindo teoricamente caminho para a execução remota de código sem autenticação em determinadas condições.
Como a falha está relacionada aos sites WordPress?
O WordPress pode usar o plugin PHP Imagick para chamar o ImageMagick ao criar prévias ou miniaturas de arquivos PDF, enquanto o ImageMagick utiliza o Ghostscript para executar o processo de renderização. Portanto, o envio de um arquivo PDF pode se tornar um ponto de entrada para um ataque se o invasor puder enviar o arquivo e o sistema o processar automaticamente por meio da cadeia de programas afetada.
A Wordfence identificou quatro condições principais para o sucesso da exploração em ambientes WordPress: permitir que o invasor envie um arquivo PDF; processar o arquivo para criar uma prévia; fazer com que a cadeia de processamento alcance o Ghostscript com políticas que permitam a renderização de PDF; além de usar uma versão não corrigida do mecanismo. A empresa explicou que o WordPress, em suas configurações padrão, não permite o envio anônimo para a biblioteca de mídia.
Escopo do impacto e resultados dos testes
O impacto abrange as versões do Ghostscript da 9.21 até a 10.07.1 e não se limita ao WordPress; qualquer aplicação que renderize arquivos PDF controlados pelo usuário por meio das versões afetadas pode estar em risco. Os pesquisadores testaram ambientes Linux que incluíam Debian, Ubuntu, Fedora, Alpine e AlmaLinux, além de uma imagem Docker oficial do WordPress, e constataram que todos continham o código afetado.
As duas tentativas de prova de conceito não conseguiram executar código remotamente durante 10.240 tentativas em pacotes Linux em um ambiente de laboratório, mas os pesquisadores conseguiram executar o código em um servidor preparado especificamente para os testes. O sucesso da exploração também dependeu de alterações nas fontes, nas configurações de idioma e na configuração das fontes, além de uma biblioteca de sistema básica, e a execução nem sempre foi confiável.
O que os operadores devem fazer?
A Artifex lançou a correção em 8 de setembro, como parte do Ghostscript 10.08.0, e as correções também foram retroportadas para versões anteriores. Os administradores do WordPress devem verificar se o provedor de hospedagem usa a versão 10.08.0 ou posterior e reconstruir e implantar imagens Docker que dependam de bases antigas.
Se a atualização não for possível, as orientações recomendam bloquear o envio de arquivos PDF para o servidor ou desativar a renderização de PDF no ImageMagick. Até o momento da preparação do relatório, a Wordfence afirmou não ter identificado exploração da vulnerabilidade em ataques reais.
Por que esta notícia é importante?
A importância da falha está no fato de que um arquivo PDF, que parece ser uma entrada de conteúdo e não um programa, pode chegar a um componente nativo com permissões de processamento no servidor. A existência da vulnerabilidade não significa que todo site WordPress possa ser comprometido automaticamente, pois o risco depende do caminho de envio e processamento, das configurações de política e da versão utilizada. No entanto, essas condições tornam a atualização do Ghostscript e a desativação do fluxo quando a atualização não for possível medidas diretas para reduzir a superfície de ataque.