Специалисты Wordfence сообщили о критической уязвимости CVE-2026-39919 в Ghostscript. Достаточно специально подготовленного PDF-файла, чтобы атакующий мог добиться выполнения кода на сервере, где этот файл обрабатывают.

Риск особенно высок там, где Ghostscript работает в связке с сайтами, офисными пакетами, графическими редакторами и системами печати. Уязвимость затрагивает версии с 9.21 по 10.07.1, а исправление вышло в 10.08.0.

Какую проблему решаем

Если ваш сервис принимает PDF от пользователей, он может стать точкой входа для атаки. Это не история только про одну CMS или один дистрибутив: Ghostscript используют разные приложения и серверные цепочки, а значит под удар попадают сразу несколько классов систем.

Подобные баги опасны тем, что выглядят как обычная загрузка документа. Администратор видит файл, превью или миниатюру — и не замечает, что внутри уже спрятана попытка сломать память процесса. Ровно так многие инциденты начинались и в других компонентах обработки файлов, о чем мы уже писали в разборе уязвимости в Nextcloud через встроенный CODE.

Что подготовить

Сначала соберите список систем, где Ghostscript стоит напрямую или приходит как зависимость. Проверьте серверы приложений, конвейеры генерации миниатюр, узлы печати, Docker-образы и рабочие станции сотрудников, если они обрабатывают чужие PDF.

Понадобятся:

  • список пакетов и версий Ghostscript;
  • понимание, кто и где загружает PDF;
  • журнал обновлений и доступ к конфигурации обработки файлов;
  • время на тест в отдельной среде, а не на боевом сервере.

Если у вас есть WordPress или похожий сервис с загрузкой документов, проверьте, не создается ли превью PDF через Ghostscript. В похожих сценариях даже одна небезопасная связка превращает обычную загрузку файла в риск для всего сервера — это видно и по другим инцидентам, например по случаю с дырой в почтовом шлюзе Cisco.

Пошаговые действия

1. Найдите уязвимые версии

Сверьте установленный пакет с диапазоном, который назвали исследователи: с 9.21 по 10.07.1. Если версия попадает внутрь этого коридора, считайте систему потенциально уязвимой.

2. Обновите Ghostscript

Переходите на 10.08.0 или на ту сборку, где исправление уже перенесли в вашу ветку. Если пакет пришел через дистрибутив, ставьте обновление из официального репозитория, а не вручную собранный бинарник.

3. Ограничьте обработку чужих PDF

Если сервису не нужен автоматический рендеринг, отключите его. Если нужен, вынесите обработку в отдельный изолированный контур и не давайте ему лишних прав на систему и сеть.

4. Проверьте цепочку загрузки файлов

Особое внимание — сервисам, где пользователь загружает документ, а система сама создает миниатюру, конвертирует страницы или извлекает изображение для предпросмотра. Именно на этом этапе Ghostscript чаще всего и срабатывает.

5. Ужесточите контроль за вложениями

Ограничьте типы файлов, проверьте размер, добавьте антивирусную и сигнатурную проверку, а подозрительные PDF отправляйте на ручную модерацию. Это не панацея, но полезный фильтр против грубых атак.

Если вы работаете с публичными точками доступа или тестируете сервисы из незнакомых сетей, разумно отдельно подумать о шифровании трафика. В таких сценариях помогает защищённое подключение для публичной сети — как дополнительный слой, а не замена патчам и изоляции.

Как проверить себя

Проверьте три вещи: версию Ghostscript, путь его вызова и права процесса. Если приложение запускает интерпретатор документов от имени высокопривилегированного пользователя, это плохой знак.

Дальше откройте журналы обработки файлов и посмотрите, нет ли неожиданных ошибок памяти, падений процесса или странных PDF, после которых сервис ведет себя нестабильно. В исследовании Wordfence тесты шли в десяти Linux-окружениях, включая Debian, Ubuntu, Fedora, Alpine и официальный Docker-образ WordPress, и везде нашли уязвимый код.

Если у вас есть сомнения, прогоните проверку в отдельной тестовой среде на копии конфигурации. Так вы поймете, где именно цепочка ломается, не рискуя боевым сервером.

Что делать, если не получилось

Если обновление нельзя поставить сразу, временно отключите автоматическую обработку PDF и переведите прием документов в ручной режим. Это неприятно, но лучше, чем оставить сервер без защиты.

Если сервис критичен для бизнеса, изолируйте компонент, который запускает Ghostscript, на отдельной машине или в отдельном контейнере с минимумом прав. Заодно проверьте, не тянет ли он за собой другие слабые места: многие атаки идут не в лоб, а через цепочку мелких недочетов, как это уже было видно на примере атак через простые дыры и ошибки входа.

Чек-лист для администратора

  • Проверить, используется ли Ghostscript в обработке PDF.
  • Сверить версию и убедиться, что это не диапазон 9.21–10.07.1.
  • Обновить пакет до 10.08.0 или версии с портированным исправлением.
  • Отключить автоматическую генерацию превью, если она не нужна.
  • Изолировать обработку документов от основного сервиса.
  • Проверить журналы на ошибки памяти и падения после загрузки PDF.
  • Ограничить права процесса, который открывает документы.
  • Протестировать конфигурацию в отдельной среде перед выкладкой на боевой сервер.
Поделиться: