Уязвимост в Ghostscript засяга сайтове, които приемат PDF

На 12 октомври 2026 г. Wordfence публикува подробности за критична уязвимост (CVE-2026-39919) в Ghostscript, програмата, с която много сървъри превръщат PDF файлове в изображения. PDF със специално подготвено изображение във формат JPEG 2000 кара Ghostscript да запише данни извън отделената памет, а това може да доведе до изпълнение на код на сървъра. Засегнати са версиите преди 10.08.0, с която Artifex, производителят на Ghostscript, пусна поправката на 8 септември. Записът в CVE оценява уязвимостта с 9.8 от 10 по CVSS.

Как уязвимостта в Ghostscript стига до WordPress

От версия 4.7 WordPress може да направи изображение на първата страница на качения PDF и да го покаже в медийната библиотека. За целта използва PHP разширението Imagick, то подава файла на ImageMagick, а ImageMagick пуска Ghostscript. Ако някое от тези звена липсва на сървъра, WordPress запазва файла без преглед.

При проверка на сигурността на WordPress 7.1 Wordfence успя да изпълни код на тестов сайт, като качи PDF през плъгин за форми, без да влиза в акаунт. Тестовите PDF файлове обаче работят само с пакета на Ghostscript, за който са подготвени, и според Wordfence това прави атаката по-трудна, но не и безобидна, особено при хостинг, където много сайтове работят с един и същ пакет. Wordfence не е открил публични доказателства, че уязвимостта вече се използва при атаки.

Засегнат ли е Вашият сайт?

Според Wordfence атаката е възможна само ако едновременно са изпълнени четири условия:

• посетител или потребител с ограничени права може да качи PDF файл;
• нещо в сайта след това прави преглед или миниатюра на файла;
• на сървъра има Imagick или друга програма, която пуска Ghostscript;
• инсталираният Ghostscript е без поправката.

В WordPress по подразбиране файлове качват администраторите, редакторите и авторите, а в WooCommerce и мениджърите на магазина, но не и клиентите. Ако форма само записва прикачения файл на диска, той не стига до Ghostscript. Ако го добавя в медийната библиотека, може да стигне.

Отворете Media > Library и вижте последния качен PDF. Ако вместо обща икона виждате първата му страница, сървърът подава PDF файловете на Ghostscript. Версията на Ghostscript се вижда в Tools > Site Health > Info, в секцията Media Handling, но номерът ѝ не доказва, че поправката е вътре. Дистрибуциите често добавят поправката към по-стара версия, без да сменят номера ѝ.

На споделен хостинг попитайте хостинг компанията дали пакетът ghostscript съдържа поправката за CVE-2026-39919. На собствен сървър или VPS вижте пълната версия на пакета с командата за Вашата система.

# SSH или Terminal на сървъра, само чете
# Debian и Ubuntu
dpkg -s ghostscript | grep '^Version'
# RHEL, AlmaLinux и сродните им
rpm -q ghostscript

Пакетът на сървъра трябва да е същият като в таблицата или по-нов.

Какво да направите

1. Поискайте обновяване на Ghostscript от този, който управлява сървъра. Поправката не идва с обновяване на WordPress или на плъгин, защото Ghostscript е част от операционната система. На споделен хостинг само хостинг компанията може да обнови пакета.
2. Докато пакетът не е обновен, спрете качването на PDF файлове от посетители и от акаунти с ограничени права. Изключете временно прикачването на PDF във формите, които добавят файловете в медийната библиотека, и прегледайте кои акаунти могат да качват файлове.
3. На Debian 12 поправка още няма. Там администраторът на сървъра може да забрани четенето на PDF в политиката за сигурност на ImageMagick.
4. Ако прегледите на PDF не Ви трябват, изключете ги с филтъра fallback_intermediate_image_sizes, който WordPress предвижда за това.

Когато филтърът върне празен списък, WordPress не отваря PDF файла с Imagick и Ghostscript не се стартира. WordPress зарежда сам файловете в папката wp-content/mu-plugins, затова сложете кода във файл там, например през File Manager в cPanel. Ако папката липсва, направете я първо.

<?php
// wp-content/mu-plugins/no-pdf-previews.php
// Спира прегледите на новите PDF файлове.
add_filter(
    'fallback_intermediate_image_sizes',
    '__return_empty_array'
);

Филтърът важи за новите качвания и не спира плъгин, който обработва PDF файловете сам. За да върнете прегледите, изтрийте файла. Още защитни мерки ще намерите в ръководството за защита на WordPress.

Какво правим ние

Когато сайтът е на VPS или на собствен сървър, при поддръжката на WordPress обновяваме системата, PHP и базата данни на сървъра, а с тях и Ghostscript, след като дистрибуцията пусне поправка. Поддръжка само на сървъра, с обновления за сигурност, ще намерите на страницата с цените. Ако не знаете дали PDF файловете във Вашия сайт стигат до Ghostscript, при одита проверяваме сигурността и сървъра и Ви казваме какво да се оправи и в какъв ред.

Източници

• Wordfence, Critical Vulnerability in Ghostscript
• CVE.org, CVE-2026-39919
• Artifex, Ghostscript 10.08.0
• Debian, CVE-2026-39919
• Ubuntu, CVE-2026-39919
• Red Hat, CVE-2026-39919
• AlmaLinux, ALSA-2026:76877, ALSA-2026:74457 и ALSA-2026:74464
• WordPress, Enhanced PDF Support in WordPress 4.7
• WordPress, fallback_intermediate_image_sizes
• WordPress, Must Use Plugins
• WordPress, Roles and Capabilities
• WooCommerce, Roles and capabilities
• ImageMagick, Security Policy