Критическая уязвимость в движке интерпретации и отображения Ghostscript может позволить удалённо выполнять код на серверах, обрабатывающих специально подготовленные PDF-файлы. Уязвимости присвоен номер CVE-2026-39919; она использует переполнение heap-памяти при работе с изображениями JPEG 2000 с низкой разрядностью сэмплов и различиями в разрешении компонентов.
Исследователи платформы Wordfence, принадлежащей Defiant, обнаружили проблему 23 августа с помощью системы Argus на основе искусственного интеллекта. Согласно результатам тестирования, вредоносный файл может заставить Ghostscript записать 1 024 байта в буфер размером не более 256 байт, что приводит к повреждению памяти и теоретически открывает путь к удалённому выполнению кода без аутентификации при определённых условиях.
Как проблема связана с сайтами WordPress?
WordPress может использовать PHP-расширение Imagick для вызова ImageMagick при создании предварительных просмотров или миниатюр PDF-файлов, тогда как ImageMagick использует Ghostscript для выполнения операции отображения. Поэтому загрузка PDF-файла может стать точкой входа для атаки, если злоумышленник способен загрузить файл, а система автоматически обрабатывает его через затронутую цепочку программ.
Wordfence определила четыре основных условия успешной эксплуатации в средах WordPress: возможность злоумышленника загрузить PDF-файл, обработка файла для создания предварительного просмотра, обращение цепочки обработки к Ghostscript при наличии политик, разрешающих отображение PDF, а также использование неисправленной версии движка. Компания отметила, что WordPress в настройках по умолчанию не разрешает анонимную загрузку в медиатеку.
Масштаб уязвимости и результаты тестирования
Уязвимость затрагивает версии Ghostscript от 9.21 до 10.07.1 и не ограничивается WordPress: любое приложение, отображающее контролируемые пользователем PDF-файлы через затронутые версии, может подвергаться риску. Исследователи протестировали среды Linux, включая Debian, Ubuntu, Fedora, Alpine и AlmaLinux, а также официальный Docker-образ WordPress и обнаружили, что все они содержали уязвимый код.
Две попытки создать подтверждение концепции не позволили выполнить удалённый код в ходе 10 240 попыток на пакетах Linux в лабораторной среде, однако исследователям удалось выполнить код на специально настроенном для тестирования сервере. Успешность эксплуатации также зависела от изменений в шрифтах, языковых настройках, конфигурации шрифтов и базовой системной библиотеке, а выполнение не всегда было надёжным.
Что следует сделать операторам?
Artifex выпустила исправление 8 сентября в составе Ghostscript 10.08.0; исправления также были перенесены в более старые версии. Администраторам WordPress следует проверить, что хостинг-провайдер использует версию 10.08.0 или более новую, а также пересобрать и развернуть Docker-образы, основанные на старых базовых образах.
Если обновление невозможно, рекомендации предусматривают блокировку загрузки PDF-файлов на сервер или отключение отображения PDF в ImageMagick. На момент подготовки материала Wordfence сообщила, что не зафиксировала эксплуатацию уязвимости в реальных атаках.
Почему эта новость важна?
Важность проблемы заключается в том, что PDF-файл, который выглядит как ввод данных, а не как программа, может попасть в нативный компонент, обладающий правами на обработку на сервере. Наличие уязвимости не означает, что любой сайт WordPress автоматически подвержен взлому, поскольку риск зависит от пути загрузки и обработки, настроек политик и используемой версии, однако эти условия делают обновление Ghostscript и отключение соответствующего пути при невозможности обновления непосредственными мерами по сокращению поверхности атаки.