Een kritieke kwetsbaarheid in Ghostscript, de veelgebruikte opensourcebibliotheek voor het verwerken en renderen van pdf-bestanden, stelt aanvallers in staat om via een kwaadaardig pdf-bestand willekeurige code uit te voeren op de server die het verwerkt. Dat meldt BleepingComputer op basis van onderzoek van Wordfence, onderdeel van beveiligingsbedrijf Defiant.
De fout, geregistreerd als CVE-2026-39919, is een heap-bufferoverflow die ontstaat bij de verwerking van JPEG2000-afbeeldingen binnen een pdf. Een specifiek geprepareerd bestand met een lage bitdiepte en niet-overeenkomende componentresoluties zorgt ervoor dat Ghostscript te veel data in een te kleine buffer schrijft: in de geteste exploits 1.024 bytes in een buffer van 256 bytes, waardoor aangrenzend geheugen wordt overschreven.
Het risico raakt verder dan directe Ghostscript-gebruikers. Wordfence liet zien hoe de keten er in de praktijk uitziet bij WordPress. Een site gebruikt de PHP Imagick-extensie om thumbnails te genereren van een geüpload bestand, Imagick roept daarvoor ImageMagick aan, en ImageMagick start op zijn beurt Ghostscript om de pdf te verwerken. Een aanvaller heeft dus niet meer nodig dan een manier om een pdf te uploaden, bijvoorbeeld via een account met lage rechten, en een website die daar automatisch een voorbeeldweergave van maakt. In een standaard WordPress-installatie staat anoniem uploaden naar de mediabibliotheek niet toe, benadrukt Wordfence, maar sites met een eigen uploadformulier voor bezoekers of met plugins die dat wel toestaan, lopen dat risico wel.
Succesvol misbruik bleek in de tests niet triviaal. Van 10.240 pogingen tegen standaard Linux-pakketten leidde geen enkele tot code-executie, terwijl een specifiek ingerichte testomgeving wel werkende exploits opleverde. Dat betekent niet dat het risico beperkt is: Wordfence vond de kwetsbare code terug in alle tien geteste Linux-omgevingen, waaronder Debian, Ubuntu, Fedora, Alpine en AlmaLinux, en in de officiële WordPress Docker-image. Wordfence zegt tot nu toe geen misbruik in het wild te hebben waargenomen.
Het lek treft Ghostscript 9.21 tot en met 10.07.1. Ontwikkelaar Artifex bracht op 8 september versie 10.08.0 uit met de fix, nadat Wordfence de fout op 23 augustus had gevonden met een eigen AI-onderzoekssysteem genaamd Argus. Voor organisaties die pdf-uploads van gebruikers verwerken, met name via WordPress of vergelijkbare contentbeheersystemen, zijn er drie opties:
- controleer bij de hostingprovider of Ghostscript al is bijgewerkt naar 10.08.0 of nieuwer
- bouw en herdeploy Docker-images met een bijgewerkte base-image als de verwerking in containers draait
- blokkeer pdf-uploads of schakel pdf-rendering in ImageMagick uit als updaten op korte termijn niet mogelijk is
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Verwerkt uw website of CMS pdf-uploads van gebruikers, bijvoorbeeld via WordPress met automatische thumbnails? Vraag uw hostingprovider of Ghostscript al is bijgewerkt naar 10.08.0, en schakel pdf-rendering in ImageMagick uit als dat nog niet kan.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.