Vulnerabilidade Crítica no Ghostscript Permite Sequestro de Servidores via PDFs Maliciosos

A vulnerabilidade crítica (CVE-2026-39919) no Ghostscript, um interpretador essencial para renderização de PostScript e PDF, representa um risco substancial. Trata-se de um estouro de buffer de heap que, quando explorado por um arquivo PDF especialmente criado, permite execução remota de código (RCE). A falha é ativada por um PDF contendo uma imagem JPEG 2000, que manipula incorretamente amostras de baixa profundidade de bit e resoluções de componentes incompatíveis. Isso força o Ghostscript a gravar 1.024 bytes em um buffer de 256 bytes, corrompendo a memória e abrindo a porta para o controle do servidor. A descoberta foi feita em 23 de agosto de 2026 pelos pesquisadores da Defiant's Wordfence, usando seu sistema Argus com IA.

Sistemas como WordPress, que dependem do Ghostscript (via ImageMagick e PHP Imagick) para gerar prévias ou miniaturas de PDFs, são particularmente vulneráveis. Para exploração bem-sucedida em ambientes WordPress, o atacante precisa conseguir fazer upload de um PDF (mesmo com conta de baixo privilégio), e o site deve processar o arquivo para gerar uma miniatura, com a cadeia de processamento alcançando uma versão desatualizada do Ghostscript. A falha atinge as versões 9.21 a 10.07.1. Testes em dez ambientes Linux, incluindo Debian, Ubuntu e uma imagem Docker oficial do WordPress, confirmaram a presença do código vulnerável.

A boa notícia é que a resposta do Artifex, mantenedor do Ghostscript, foi relativamente ágil. A falha, identificada em 23 de agosto de 2026, teve sua correção implementada na versão 10.08.0 do interpretador em 8 de setembro de 2026, com backports para versões mais antigas. Isso indica que, embora a ameaça seja grave, há um patch disponível há mais de um mês, mitigando o período de exposição para quem age rápido. No entanto, até o momento, a Wordfence não registrou exploração ativa (in-the-wild) da CVE-2026-39919.

Esta vulnerabilidade é crítica porque a execução remota de código (RCE) é uma das falhas mais severas, permitindo que atacantes tomem controle total de um servidor. A ampla utilização do Ghostscript em diversas plataformas, especialmente em sistemas de gerenciamento de conteúdo como o WordPress, multiplica o risco. Um servidor comprometido pode levar a roubo de dados, implantação de malware ou inclusão em botnets. A necessidade de atualização imediata é indiscutível, sendo um aviso claro para administradores de sistema e desenvolvedores priorizarem a segurança de sua cadeia de software.