Uma vulnerabilidade crítica no Ghostscript pode permitir que invasores executem código em servidores vulneráveis ao enviarem um PDF (formato de documento portátil) especialmente elaborado, contendo uma imagem JPEG 2000 maliciosa (padrão de compressão de imagens).
Identificada como CVE-2026-39919 (Vulnerabilidades e Exposições Comuns, sistema de catalogação de falhas de segurança), a falha é um estouro de buffer baseado em heap (área de memória dinâmica do programa), com nota 9,8 de 10 no CVSS v3.1 (Sistema de Pontuação de Vulnerabilidades Comuns) e 9,3 no CVSS v4.0. A pontuação reflete um cenário de pior caso: execução remota de código sem autenticação e acessível pela rede.
A Artifex lançou o Ghostscript 10.08.0 em 8 de setembro de 2026 para corrigir o problema, depois que a Wordfence Threat Intelligence descobriu a falha e a reportou de forma privada durante uma avaliação de segurança do WordPress 7.1.
A vulnerabilidade afeta versões do Ghostscript anteriores à 10.08.0 e está no adaptador de saída JPEG 2000, especificamente no código que trata imagens cujos componentes usam fatores de subamostragem incompatíveis.
O código afetado aloca memória para a saída de imagem compactada, mas em seguida grava um byte completo para cada coluna de saída, independentemente da profundidade de bits.
Essa incompatibilidade permite que dados controlados pelo atacante extrapolem o buffer na heap e corrompam os metadados de gerenciamento de memória interna do Ghostscript. Em condições adequadas, a corrupção de memória pode ser transformada em execução de código.
Pesquisadores da Wordfence demonstraram execução remota de código sem autenticação em uma instalação do WordPress criada especificamente para o teste.
A cadeia de ataque não explora o próprio WordPress; ela abusa da pilha de processamento de documentos comumente usada por instalações do WordPress.
Quando um PDF é adicionado à Biblioteca de Mídia, o WordPress pode usar o Imagick (extensão do PHP que acessa o ImageMagick), que invoca o ImageMagick, que por sua vez chama o Ghostscript para gerar uma imagem de visualização da primeira página do documento.
Assim, um PDF malicioso pode alcançar o processo vulnerável do Ghostscript sem atingir diretamente o PHP (linguagem de programação em que o WordPress é escrito) ou o núcleo do WordPress.
Isso torna o problema especialmente relevante para sites que aceitam PDFs de visitantes anônimos, clientes, colaboradores ou usuários com privilégios reduzidos.
Formulários de upload, portais de documentos, sistemas de processamento de faturas, serviços de impressão, gateways de e-mail, geradores de pré-visualização e APIs de conversão de arquivos podem apresentar uma superfície de ataque semelhante se renderizarem PDFs não confiáveis pelo Ghostscript.
Pesquisadores da Wordfence afirmaram que a vulnerabilidade surge quando o Ghostscript processa uma imagem JPEG 2000 com precisão de amostra de sub-byte e diferentes resoluções de componentes.
Vulnerabilidade no Ghostscript
A pontuação de gravidade não deve ser interpretada como prova de que um único arquivo de exploração compromete todos os servidores. Os testes da Wordfence constataram que as provas de conceito eram específicas para cada build: arquivos desenvolvidos para um ambiente do Ghostscript não funcionaram sem alterações em dez ambientes diferentes de pacotes Linux.
No entanto, essa limitação não elimina o risco. Atacantes podem mirar uma build de software conhecida, identificar hosts que executam uma imagem de contêiner compartilhada ou adaptar cargas maliciosas para ambientes de hospedagem comuns.
A exploração específica para cada build é mais difícil do que a exploração universal, mas continua perigosa para organizações que operam infraestruturas repetíveis.
A imagem oficial do WordPress para Docker (plataforma de contêineres) testada pela Wordfence continha, segundo relatado, um pacote Ghostscript vulnerável e um caminho de visualização de PDF funcional.
O WordPress padrão não permite que usuários anônimos façam upload de arquivos PDF por padrão, mas plugins, formulários personalizados, recursos de associação, rotas de candidatura e perfis de usuários autenticados podem oferecer o caminho de upload que faltava. Administradores devem revisar todos os fluxos que aceitam e processam PDFs, não apenas a Biblioteca de Mídia do WordPress.
Não há atualização de plugin do WordPress que corrija a CVE-2026-39919. A correção deve ocorrer na camada do sistema operacional ou da imagem do contêiner.
Administradores devem instalar o pacote Ghostscript corrigido fornecido pela distribuição Linux, seguir as orientações do fornecedor sobre reinicialização e recriar os contêineres a partir de uma imagem base atualizada.
A versão do Ghostscript informada isoladamente pode ser enganosa, pois as distribuições podem aplicar correções de segurança mantendo uma versão upstream mais antiga no identificador.
Organizações que não conseguirem aplicar a correção imediatamente devem suspender uploads de PDFs não confiáveis ou desativar a renderização de PDF na política de segurança do ImageMagick.
Executar a conversão de documentos em um serviço isolado e com privilégios mínimos pode reduzir o impacto após a exploração, mas não corrige a vulnerabilidade subjacente de corrupção de memória.
O incidente evidencia uma realidade mais ampla da cadeia de suprimentos para aplicações web: um recurso rotineiro de upload de arquivos pode acionar múltiplas dependências ocultas abaixo da camada da aplicação.
Neste caso, o WordPress pode entregar um PDF ao Imagick, ao ImageMagick e, por fim, ao Ghostscript. Isso significa que uma vulnerabilidade em um componente nativo de renderização de documentos pode se tornar um risco de comprometimento de servidor muito além do código onde o upload ocorre originalmente.
Interrompa ameaças cibernéticas antes do impacto com um MTTR (tempo médio de resposta) 21 minutos mais rápido. Integre o Sandbox da ANYRUN ao seu SOC (centro de operações de segurança).
