Критична уязвимост в интерпретатора Ghostscript може да позволи на нападатели да изпълняват произволен код в уязвими системи чрез специално изработени PDF файлове. Проблемът, проследяван като CVE-2026-39919, е свързан с препълване на буфер в динамичната памет и може да засегне уеб приложения, които обработват качени документи чрез Ghostscript.

Уязвимостта е открита на 23 август 2026 г. от изследователи на Defiant, компанията зад платформата Wordfence, с помощта на системата им Argus, базирана на ИИ. Изследователите са разработили два експлойта, демонстриращи възможността за задействане на дефекта и постигане на отдалечено изпълнение на код при определени условия.

Проблемът засяга Ghostscript във версиите от 9.21 до 10.07.1. Разработчикът Artifex е публикувал корекция във версия 10.08.0 на 8 септември, като са подготвени и корекции за по-стари версии. По данни на Wordfence към момента на публикуване на анализа няма установени случаи на експлоатация на уязвимостта в реални атаки.

Как работи уязвимостта CVE-2026-39919

Ghostscript е софтуерен интерпретатор и механизъм за визуализиране на документи във формат PostScript и PDF. Той се използва за генериране на изображения от документи, създаване на миниатюри за визуализация и оптимизиране на PDF файлове чрез компресиране на изображения и премахване на ненужни данни за шрифтове.

Уязвимостта възниква при обработката на определени изображения във формат JPEG 2000, вградени в специално подготвен PDF файл. При конкретни комбинации от параметри декодерът обработва неправилно данни с малка битова дълбочина и несъответстващи резолюции на отделните компоненти.

Това може да доведе до записване на повече данни, отколкото позволява заделеният буфер. Според Wordfence разработените експлойти принуждават Ghostscript да запише 1024 байта в буфер с размер 256 байта, което поврежда съседни области от паметта.

Подобно препълване може да наруши нормалното изпълнение на програмата и при подходящи условия да бъде използвано за изпълнение на код с правата на уязвимия процес. Следователно реалното въздействие зависи не само от наличието на дефектния код, но и от конфигурацията на системата, начина на обработка на документа и защитните механизми на операционната среда.

WordPress сайтовете могат да бъдат изложени на риск

Особено внимание заслужават WordPress сайтовете, които автоматично обработват качени PDF файлове. При генериране на миниатюри WordPress може да използва PHP разширението Imagick, което извиква ImageMagick. При определени конфигурации ImageMagick използва Ghostscript за обработка на PDF съдържанието.

Тази последователност създава потенциален път за атака: потребител подава специално изработен документ, приложението се опитва да генерира визуализация и уязвимият Ghostscript обработва съдържанието.

За успешна атака срещу WordPress трябва да са изпълнени няколко условия:

• Нападателят може да качи PDF файл – анонимно или чрез профил с ограничени права.

• Сайтът обработва файла, за да генерира миниатюра или предварителен преглед.

• Веригата от инструменти достига до Ghostscript и настройките позволяват обработката на PDF документи.

• Използваната версия на Ghostscript съдържа уязвимия код и не е приложена съответната корекция.

Wordfence уточнява, че стандартната инсталация на WordPress не позволява анонимно качване на файлове в медийната библиотека. Това обаче не изключва риска при сайтове с допълнителни плъгини, персонализирани функции за качване или други приложения, които приемат документи от външни потребители.

Уязвимостта не е ограничена само до WordPress. Всяко онлайн приложение, което обработва недоверени PDF файлове чрез засегната версия на Ghostscript, може да бъде изложено на риск. Изискването за удостоверяване зависи от начина, по който конкретната система приема и обработва документи.

Изследователите потвърждават зависимост от средата

Екипът на Wordfence проверява уязвимия код в десет Linux среди, включително Debian, Ubuntu, Fedora, Alpine и AlmaLinux, както и в моментна версия на официален WordPress Docker образ. Изследователите установяват наличието на уязвимия код във всички изпитани среди.

Това обаче не означава, че експлойтът работи еднакво успешно навсякъде.

При лабораторните изпитвания двата експлойта са изпълнени общо 10 240 пъти срещу Linux пакети, без да бъде постигнато отдалечено изпълнение на код в тези тестове. Изследователите все пак успяват да изпълнят код от разстояние върху специално подготвен тестов сървър.

За да постигнат този резултат, те променят параметри на PDF документа, включително шрифтове и езикови настройки, както и конфигурацията на шрифтовете и една основна системна библиотека. Дори след тези промени експлоатацията не е надеждна във всички опити.

Тези резултати показват разликата между наличието на уязвимост и практическата възможност тя да бъде използвана за поемане на контрол над система. Дефектът е потвърден, но успехът на атаката зависи от конкретната среда и от допълнителните условия за експлоатация.

Какви мерки трябва да ce предприемат

Artifex публикува корекцията във версия 10.08.0 на Ghostscript на 8 септември 2026 г. Налични са и корекции, пренесени към по-стари версии, поради което администраторите трябва да проверят конкретната версия и ревизия на използвания пакет, вместо да разчитат единствено на номера на основната версия.

За WordPress сайтовете е необходимо да се провери дали хостинг доставчикът е актуализирал Ghostscript до версия 10.08.0 или по-нова, или е приложил съответната корекция за поддържаната версия. Самото обновяване на WordPress или на PHP разширението Imagick не гарантира, че уязвимият интерпретатор е актуализиран.

При Docker среди е препоръчително да се изгради отново образът с актуализирана и коригирана базова среда, след което да се внедри новата версия. Обновяването само на работещия контейнер може да не е достатъчно, ако уязвимият компонент остава в използвания образ и се връща при следващо разгръщане.

Ако незабавната актуализация е невъзможна, Wordfence препоръчва временно да се блокира качването на PDF файлове или да се изключи обработката им чрез ImageMagick. Подобни ограничения трябва да се оценят спрямо функционалността на приложението, но могат да намалят риска, докато бъде приложена корекцията.

Организациите трябва също да установят кои приложения използват Ghostscript като зависим компонент, включително услуги за генериране на визуализации, преобразуване на документи и автоматизирана обработка на файлове. Подобни зависимости често остават извън непосредствения контрол на екипите, които поддържат основното уеб приложение.

Липсата на известни атаки не отменя необходимостта от актуализация

CVE-2026-39919 показва как дефект в широко използван компонент за обработка на документи може да се превърне в риск за уеб приложенията, дори когато самото приложение не съдържа уязвим код. В този случай опасността произтича от автоматизираната обработка на съдържание, предоставено от потребител, и от зависимостите между WordPress, Imagick, ImageMagick и Ghostscript.

Към момента Wordfence не съобщава за потвърдена експлоатация в реални атаки. Това е важна уговорка, но не е основание за отлагане на корекциите. Наличието на разработени експлойти и възможността за отдалечено изпълнение на код в подходяща среда правят проверката на уязвимите инсталации приоритетна задача.

За бизнеса основният риск е в незабелязаните софтуерни зависимости и автоматичната обработка на недоверени файлове. Навременната актуализация на Ghostscript, ограничаването на ненужните възможности за качване и проверката на всички компоненти, които обработват PDF документи, са ключови стъпки за намаляване на риска.