Eine kritische Sicherheitslücke in der Ghostscript-Engine kann Angreifern die Übernahme von Servern ermöglichen, wenn diese PDF-Dateien aus nicht vertrauenswürdigen Quellen verarbeiten. Die Schwachstelle CVE-2026-39919 ist ein Heap-Buffer-Overflow und kann zu einer Remotecodeausführung führen.
Forscher von Wordfence entdeckten die Lücke mit ihrer Argus-Plattform und entwickelten zwei Exploits. In einem demonstrierten Szenario schreibt ein speziell präpariertes PDF 1.024 Bytes in einen nur 256 Bytes großen Puffer. Dadurch lässt sich Speicher beschädigen und anschließend Schadcode ausführen.
Das Risiko betrifft nicht nur WordPress-Installationen. Jede Anwendung, die von Angreifern kontrollierte PDFs mit Ghostscript rendert, kann gefährdet sein; die konkreten Authentifizierungsanforderungen hängen von der jeweiligen Anwendung ab. Eine Ausnutzung in freier Wildbahn wurde laut Wordfence bisher nicht beobachtet.
Artifex hat die Schwachstelle bereits mit Ghostscript 10.08.0 geschlossen. Betreiber sollten Ghostscript und darauf basierende Container-Images aktualisieren. Ist das kurzfristig nicht möglich, empfiehlt sich, PDF-Uploads zu blockieren oder die PDF-Darstellung in ImageMagick zu deaktivieren.