Ghostscript: falla critica CVE-2026-39919, RCE da un PDF caricato su WordPress

Wordfence Threat Intelligence, con il proprio sistema Argus, ha scoperto una vulnerabilità critica in Ghostscript, il programma che molti server usano per trasformare i PDF caricati in anteprime JPEG. La falla è tracciata come CVE-2026-39919. Riguarda chiunque gestisca un sito che accetta upload di PDF, WordPress compreso: se un visitatore può caricare un file, il server potrebbe eseguire codice arbitrario senza bisogno di credenziali.

Cosa c'è nel PDF che fa saltare Ghostscript

Un PDF creato ad arte con un'immagine JPEG 2000 che dichiara fattori di subsampling non coerenti tra i componenti manda in overflow il buffer in base/sjpx_openjpeg.c, l'adattatore di output JPEG 2000 di Ghostscript. Il difetto sta nel codice che Ghostscript usa per decodificare le immagini JPEG 2000 dentro i PDF: un file costruito ad hoc può far scrivere a Ghostscript dati oltre la fine di un buffer di memoria, e quella corruzione può portare all'esecuzione di codice con i permessi dell'account che processa il file. Wordfence ha portato questa corruzione fino a una remote code execution non autenticata su un sito WordPress di test costruito appositamente.

Il file non si distingue da un PDF normale con i controlli abituali: estensione del file, MIME type e controlli di struttura di base non lo intercettano. E non basta affidarsi al sandboxing di Ghostscript: il sandbox -dSAFER di Ghostscript non lo ferma.

Numeri e correzione

Il record CVE assegna un punteggio CVSS 3.1 di 9.8 e un punteggio CVSS 4.0 di 9.3. Artifex ha rilasciato Ghostscript 10.08.0 l'8 settembre 2026, correggendo un heap buffer overflow critico con punteggio CVSS 9.8, sedici giorni dopo la segnalazione di Wordfence. La pagina ufficiale delle CVE di Ghostscript conferma che la stessa versione 10.08.0 chiude anche il CVE-2026-19547.

Chi usa Debian trova la correzione nell'avviso DSA-6516-1, pubblicato il 25 settembre 2026.

Cosa deve fare chi gestisce il server

Wordfence ha trasformato la falla in esecuzione di codice remoto non autenticata su un sito WordPress di test: i gestori dei siti devono aggiornare il pacchetto di sistema, perché non esiste un aggiornamento di plugin WordPress. La generazione delle anteprime PDF è una funzione del core di WordPress fin dalla versione 4.7 e viene fornita tramite WP_Image_Editor_Imagick, che richiede il supporto di Imagick, ImageMagick e Ghostscript: riguarda quindi qualsiasi installazione che accetti upload di PDF nella libreria media, non solo i siti con plugin dedicati.

Verificare la versione installata con gs --version e aggiornare alla 10.08.0 o successiva resta l'unica correzione definitiva. Dove l'aggiornamento non è immediato, disabilitare l'elaborazione di immagini JPEG 2000 o isolare il processo Ghostscript riduce l'esposizione, ma non elimina il problema.