Ghostscript yorumlama ve işleme motorundaki kritik bir güvenlik açığı, özel olarak hazırlanmış PDF dosyalarını işleyen sunucularda uzaktan kod yürütülmesine olanak tanıyabilir. CVE-2026-39919 olarak izlenen açık, düşük bit derinliğine sahip JPEG 2000 görüntüleri ve bileşen çözünürlüklerindeki farklılıklarla çalışırken gerçekleşen bir heap taşmasından yararlanıyor.
Defiant’a bağlı Wordfence platformundan araştırmacılar, açığı 23 Ağustos’ta yapay zekâ destekli Argus sistemiyle keşfetti. Testlere göre kötü amaçlı dosya, Ghostscript’i boyutu 256 baytı aşmayan bir arabelleğe 1.024 bayt yazmaya zorlayabiliyor. Bu durum belleğin bozulmasına neden oluyor ve belirli koşullarda kimlik doğrulaması gerektirmeden uzaktan kod yürütülmesinin teorik olarak önünü açıyor.
Açık WordPress siteleriyle nasıl ilişkili?
WordPress, PDF dosyaları için önizleme veya küçük resim oluştururken ImageMagick’i çağırmak üzere PHP Imagick eklentisini kullanabilir. ImageMagick ise işleme sürecini gerçekleştirmek için Ghostscript’ten yararlanır. Bu nedenle saldırgan dosya yükleyebiliyor ve sistem dosyayı etkilenen program zinciri üzerinden otomatik olarak işliyorsa, PDF dosyası yüklemek saldırı giriş noktası hâline gelebilir.
Wordfence, WordPress ortamlarında istismarın başarılı olması için dört temel koşul belirledi: saldırganın PDF dosyası yüklemesine izin verilmesi, önizleme oluşturmak üzere dosyanın işlenmesi, işleme zincirinin PDF görüntülemeye izin veren politikalarla Ghostscript’e ulaşması ve motorun düzeltilmemiş bir sürümünün kullanılması. Wordfence ayrıca WordPress’in varsayılan ayarlarında medya kitaplığına anonim yüklemeye izin verilmediğini açıkladı.
Etkilenme kapsamı ve test sonuçları
Etkilenme Ghostscript’in 9.21 ile 10.07.1 arasındaki sürümlerini kapsıyor ve yalnızca WordPress’le sınırlı değil. Etkilenen sürümler üzerinden kullanıcıların kontrolündeki PDF dosyalarını görüntüleyen tüm uygulamalar risk altında olabilir. Araştırmacılar Debian, Ubuntu, Fedora, Alpine ve AlmaLinux’u içeren Linux ortamlarının yanı sıra WordPress’in resmî Docker imajını test etti ve bunların tamamında etkilenen kodun bulunduğunu tespit etti.
İki kavram kanıtlama çalışması, laboratuvar ortamındaki Linux paketlerinde gerçekleştirilen 10.240 deneme sırasında uzaktan kod yürütmeyi başaramadı. Ancak araştırmacılar, özellikle test amacıyla hazırlanmış bir sunucuda kod yürütmeyi başardı. Ayrıca istismarın başarısı yazı tiplerinde, dil ayarlarında, yazı tipi yapılandırmasında ve temel bir sistem kitaplığında yapılan değişikliklere bağlıydı; yürütme her zaman güvenilir değildi.
Operatörler ne yapmalı?
Artifex düzeltmeyi 8 Eylül’de Ghostscript 10.08.0 kapsamında yayımladı ve düzeltmeler daha eski sürümlere de geri aktarıldı. WordPress yöneticileri, barındırma sağlayıcısının 10.08.0 veya daha yeni bir sürüm kullandığını doğrulamalı ve eski taban imajlarına dayanan Docker imajlarını yeniden oluşturup yayımlamalı.
Güncelleme yapılamıyorsa yönergeler, PDF dosyalarının sunucuya yüklenmesinin engellenmesini veya ImageMagick’te PDF görüntülemenin devre dışı bırakılmasını öneriyor. Raporun hazırlandığı tarihe kadar Wordfence, açığın gerçek saldırılarda istismar edildiğini gözlemlemediğini söyledi.
Bu haber neden önemli?
Açığın önemi, içerik girdisi gibi görünen bir PDF dosyasının sunucuda işleme yetkilerine sahip yerel bir bileşene ulaşabilmesinden kaynaklanıyor. Açığın bulunması, her WordPress sitesinin otomatik olarak ele geçirilebilir olduğu anlamına gelmiyor; risk yükleme ve işleme yoluna, politika ayarlarına ve kullanılan sürüme bağlı. Ancak bu koşullar, Ghostscript’i güncellemenin ve güncelleme yapılamadığında bu yolu devre dışı bırakmanın saldırı yüzeyini azaltmak için doğrudan uygulanabilecek iki önlem olduğunu gösteriyor.