Uma falha crítica de heap buffer overflow no Ghostscript, identificada como
CVE-2026-39919
, pode permitir a execução remota de código por meio de arquivos PDF especialmente elaborados.
A vulnerabilidade foi descoberta em 23 de agosto por pesquisadores da Defiant, empresa responsável pela plataforma Wordfence, com o auxílio do sistema Argus, baseado em IA.
O Ghostscript é um interpretador de PostScript e PDF que pode converter PDFs em imagens, gerar miniaturas para visualização e otimizar arquivos PDF, comprimindo imagens incorporadas e removendo dados de fontes desnecessários.
Para gerar miniaturas de PDFs, o WordPress pode usar a extensão Imagick do PHP para acionar o ImageMagick, que, por sua vez, inicia o Ghostscript.
Um arquivo PDF especialmente elaborado, com uma imagem JPEG 2000, pode provocar o tratamento incorreto de amostras com baixa profundidade de bits e de resoluções incompatíveis entre componentes.
Com o Argus, os pesquisadores criaram dois exploits para a
CVE-2026-39919
. Eles fazem o Ghostscript gravar 1.024 bytes em um buffer de 256 bytes, corrompendo áreas próximas da memória e possibilitando a execução remota de código sem autenticação em uma instalação do WordPress.
A Wordfence concentrou os testes em sistemas WordPress, mas alerta que a falha afeta qualquer sistema conectado à internet que execute o Ghostscript nas versões de 9.21 a 10.07.1. A exploração é possível desde que o payload seja adaptado ao ambiente.
Os pesquisadores avaliaram dez ambientes Linux, incluindo Debian, Ubuntu, Fedora, Alpine e AlmaLinux, além de uma imagem oficial do WordPress para Docker. Todos continham o código vulnerável.
Os dois exploits de prova de conceito (PoC) testados tiveram resultados diferentes conforme o ambiente. Em um ambiente de testes controlado, os pesquisadores os executaram 10.240 vezes contra pacotes Linux, mas não conseguiram obter execução remota de código. Em contrapartida, conseguiram executar código remotamente em um servidor de testes preparado para esse fim.
A equipe constatou que alterações nas fontes do PDF, nas configurações de idioma e de fontes, além de mudanças em uma biblioteca essencial do sistema, permitiam que o exploit funcionasse, embora de forma pouco confiável.
Em ambientes WordPress, a exploração bem-sucedida depende de quatro condições:
- O invasor precisa conseguir enviar um PDF, de forma anônima ou com uma conta de baixo privilégio.
- O site precisa processar o arquivo para gerar uma prévia ou miniatura.
- A cadeia de processamento deve acionar o Ghostscript, com os programas necessários instalados e as configurações de política permitindo a renderização de PDFs.
- O Ghostscript precisa conter o código vulnerável, ainda sem patch.
A Wordfence ressalta que a instalação padrão do WordPress não permite o envio anônimo de arquivos para a Biblioteca de mídia.
De forma mais ampla, qualquer aplicativo que renderize PDFs fornecidos por invasores usando o código vulnerável do Ghostscript pode estar exposto. A necessidade de autenticação depende dos requisitos de cada aplicativo.
A Artifex, responsável pela manutenção do Ghostscript, disponibilizou uma correção em 8 de setembro, na versão 10.08.0 do interpretador.
Correções também foram incorporadas a versões anteriores. Por isso, os usuários devem consultar os detalhes de cada revisão para confirmar se o patch está disponível.
Administradores do WordPress devem verificar com seus provedores de hospedagem se o Ghostscript foi atualizado para a versão 10.08.0 ou posterior.
Quem usa Docker deve reconstruir e implantar novamente a aplicação com uma imagem-base atualizada e corrigida.
Se não for possível atualizar para uma versão corrigida do Ghostscript, a recomendação é bloquear o envio de PDFs para o servidor ou desativar a renderização desses arquivos no ImageMagick.
A Wordfence informou que, até o momento, não identificou casos de exploração da
CVE-2026-39919
em ambiente real.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...