USN-8949-1: Ubuntu corregge bypass del sandbox in Ghostscript

Canonical ha pubblicato il 21 ottobre 2026 l'avviso USN-8949-1 per Ghostscript, l'interprete PostScript e PDF presente di default su gran parte dei server Linux. L'aggiornamento tocca tutte le release Ubuntu ancora supportate, da 16.04 LTS a 26.10.

Le falle corrette

Quando Ghostscript renderizza un documento PostScript o EPS appositamente creato, può bypassare il sandbox -dSAFER ed eseguire comandi shell arbitrari nel contesto del processo Ghostscript (CVE-2026-101258). La seconda falla, CVE-2026-103226, è uno stack-based buffer overflow in pdfwrite tramite dati font appositamente creati. L'avviso ufficiale segnala anche un terzo problema di validazione degli operandi nel caricamento dei font, senza numero CVE assegnato, scoperto da Paulos Yibelo.

Perché riguarda chi gestisce hosting

Ghostscript non è solo uno strumento da riga di comando per convertire file: quando genera un'anteprima PDF, WordPress può usare l'estensione PHP Imagick per chiamare ImageMagick, che a sua volta lancia Ghostscript. Qualsiasi sito con upload di PDF aperto agli utenti (moduli, media library, plugin di gestione documenti) passa quei file nelle mani di questo interprete. Ad agosto 2026 era già emersa una falla simile (CVE-2026-39919) sfruttabile proprio tramite upload di PDF su WordPress, che affects any online system running Ghostscript 9.21 through 10.07.1: un promemoria che il pacchetto va tenuto aggiornato anche quando non lo si invoca mai direttamente da terminale.

Versioni corrette

Release	Pacchetto	Versione
26.10	libgs10 / libgs10-common	10.07.1~dfsg-1ubuntu2.1
26.04 LTS	libgs10 / libgs10-common	10.06.0~dfsg-3ubuntu1.2
24.04 LTS	libgs10 / libgs10-common	10.02.1~dfsg1-0ubuntu7.10
22.04 LTS	libgs9 / libgs9-common	9.55.0~dfsg1-0ubuntu5.15
20.04 LTS (ESM)	libgs9 / libgs9-common	9.50~dfsg-5ubuntu4.15+esm3
18.04 LTS (ESM)	libgs9 / libgs9-common	9.26~dfsg+0-0ubuntu0.18.04.18+esm6
16.04 LTS (ESM)	libgs9 / libgs9-common	9.26~dfsg+0-0ubuntu0.16.04.14+esm11

Per le release 20.04, 18.04 e 16.04 la correzione richiede un abbonamento Ubuntu Pro. Su tutte le altre basta un normale apt update && apt upgrade. Chi gestisce server con generazione automatica di anteprime PDF (WordPress, DMS, gallerie documenti) dovrebbe applicare la patch senza aspettare il prossimo ciclo di manutenzione.