פגיעות ב-Ghostscript‏ CVE-2026-39919: איך PDF אחד יכול להשתלט על שרת, ומי באמת בסיכון

מאת /
גור חתולים מחופש לרוח רפאים קטנה מתחת לבד לבן על שולחן בחדר שרתים, ואישה מרימה את קצה הבד

רוב האנשים מעולם לא התקינו את Ghostscript ואינם יודעים שהם משתמשים בו. ובכל זאת, התוכנה הזאת פועלת מאחורי הקלעים במספר עצום של שרתים: היא זו שהופכת קובץ PDF שהועלה לתמונה ממוזערת בוורדפרס, במערכות לניהול מסמכים, בשערי דואר ובשירותים מסוג „דחסו את ה-PDF שלכם אונליין”. בספטמבר 2026 תוקנה בה פגיעות שבגללה קובץ PDF שהוכן במיוחד עלול לגרום להרצת קוד זר על המחשב שמעבד את הקובץ.

להלן מה שידוע בוודאות, מה שלא ידוע, איך לבדוק את השרת שלכם, ומה המשמעות של הסיפור הזה לכל מי ששולח מסמכים לעיבוד ברשת.

בקצרה

  • הפגיעות: CVE-2026-39919, גלישת חוצץ בערימה (heap) בטיפול של Ghostscript בתמונות JPEG 2000. מספיק קובץ PDF עם תמונה שהוכנה לשם כך.
  • גרסאות פגיעות: מ-9.21 עד 10.07.1 לפי מגלי הפגיעות (רשומת ה-CVE אומרת באופן כללי „לפני 10.08.0”).
  • התיקון: Ghostscript 10.08.0, שיצא ב-8 בספטמבר 2026. הפצות לינוקס מעבירות את התיקון גם למספרי גרסה ישנים, ולכן מה שקובע הוא הגרסה המלאה של החבילה, לא מה שמציג gs --version.
  • חומרה: 9.8 ב-CVSS 3.1 לפי רשומת ה-CVE, ו-7.8 („Moderate”) לפי Red Hat. שני המספרים הוגנים, הם פשוט מתארים תרחישים שונים.
  • מתקפות בפועל: עד כה לא אומתה אף אחת. הניצול שעבד נבנה במעבדה והותאם לבנייה (build) מסוימת אחת.
  • -dSAFER אינו מגן. התקלה מתרחשת גם כשארגז החול (sandbox) מופעל.

מה קרה

את הפגיעות גילתה Wordfence, חברה העוסקת באבטחת וורדפרס, בעזרת Argus, מערכת הבדיקות שלה הנעזרת בבינה מלאכותית. זה היה ב-23 באוגוסט 2026, במהלך סקירת אבטחה של וורדפרס 7.1. הכלי עקב אחרי קובץ שהועלה הרבה מעבר לקוד ה-PHP שקיבל אותו: דרך התוסף Imagick, דרך ImageMagick, ועד ל-Ghostscript ולמפענח ה-JPEG 2000 בתחתית.

Artifex, החברה שמפתחת את Ghostscript, אישרה את הדיווח למחרת, וב-8 בספטמבר הוציאה את גרסה 10.08.0 עם התיקון. רשומת ה-CVE פורסמה ב-15 בספטמבר. Wordfence חשפה את הפרטים הטכניים ב-12 באוקטובר, ויום אחר כך BleepingComputer ושאר העיתונות המקצועית הרימו את הנושא.

איך התקלה עובדת

לא צריך לדעת C כדי להבין. תמונה היא רשת של דגימות. JPEG 2000 מאפשר לרכיבים של תמונה (למשל בהירות ושקיפות) להיות ברזולוציות שונות, ולדגימה בודדת לתפוס פחות מ-8 ביטים. בדגימות של 2 ביטים נכנסות ארבע לבית אחד.

בדוגמה שהחוקרים מתארים, שורה אחת בתמונה מכילה 1,024 דגימות כאלה. ארוזות, הן תופסות 256 בתים, ו-Ghostscript מקצה כראוי 256 בתים. אבל כששני התנאים שלמעלה מתקיימים יחד, הלולאה שממלאת את השורה כותבת בית שלם לכל דגימה במקום לארוז ארבע בכל בית. לחוצץ של 256 בתים נכנסים 1,024 בתים. 768 הבתים העודפים בכל שורה דורסים את הזיכרון שבו Ghostscript שומר את נתוני הניהול שלו. ומכיוון שהבתים האלה מגיעים מהתמונה, את תוכנם בוחר מי שיצר את הקובץ.

תאי מכתבים מעץ בסניף דואר ישן, בכל תא יושב גור חתולים, ובסוף השורה גורים נשפכים אל הרצפה

זו הדרך הקלאסית מ„התוכנה קרסה” אל „התוכנה עשתה את מה שהתוקף רצה”. מערכות מודרניות מקשות מאוד על הדרך הזאת (פריסה אקראית של הזיכרון והגנות נוספות), אבל לא חוסמות אותה לגמרי.

איך PDF מגיע ל-Ghostscript בוורדפרס

וורדפרס לא מצייר בעצמו תצוגות מקדימות של PDF. מגרסה 4.7 הוא יודע ליצור תמונה של העמוד הראשון במסמך שהועלה, ועושה זאת בעזרת תוכנות אחרות. השרשרת נראית כך:

WordPress → תוסף ה-PHP בשם Imagick → ImageMagick → Ghostscript

Ghostscript רץ כתהליך נפרד, בדרך כלל תחת אותו חשבון כמו שרת האינטרנט. הוא מתחיל לפעול רק כשמשהו מבקש תמונה של ה-PDF. טופס ששומר את הקובץ בדיסק ולא עושה איתו שום דבר אחר לעולם לא יפעיל אותו.

מתקפה בדרך הזאת דורשת שכל ארבעת התנאים יתקיימו בו-זמנית:

  1. מישהו מבחוץ (באופן אנונימי או עם חשבון בעל הרשאות נמוכות) יכול להעלות PDF,
  2. האתר מבקש תצוגה מקדימה או תמונה ממוזערת של הקובץ,
  3. בשרת יש Imagick או כלי אחר שקורא לשם כך ל-Ghostscript, ומדיניות ImageMagick מתירה קריאת קובצי PDF,
  4. ה-Ghostscript המותקן אינו כולל את התיקון.

הסתייגות חשובה: וורדפרס במצבו הרגיל אינו מאפשר למבקרים אנונימיים להעלות קבצים לספריית המדיה. התוקף צריך תוסף, טופס עם שדה צרופה או חשבון שפותח את הדרך הזאת. Wordfence בדקה גם את תמונת ה-Docker הרשמית של וורדפרס: היו בה Ghostscript 10.05.1 פגיע, התוסף Imagick ונתיב פעיל לתצוגה מקדימה של PDF. ועדיין, לבדה היא לא הספיקה למתקפה אנונימית.

פרט אחד משחק לטובת התוקף: כשהניסיון הראשון ליצור תצוגה מקדימה נכשל, וורדפרס מנסה שוב אוטומטית עם הגדרות אחרות. כלומר, שלוש צרופות זדוניות פירושן שש הרצות של Ghostscript. בבדיקה של Wordfence הטופס המשיך להודיע „ההעלאה הצליחה”, בזמן ש-Ghostscript קרס בשקט ברקע.

זו לא תקלה בוורדפרס או בתוסף הטפסים. הם היו רק הדרך שבה הקובץ הגיע ל-Ghostscript.

כמה זה מסוכן באמת

כדאי לעצור כאן, כי כותרות כמו „PDF אחד משתלט על השרת שלכם” אומרות רק חצי מהאמת.

למה שני ציונים שונים. רשומת ה-CVE נותנת 9.8 מתוך 10 (CVSS 3.1) ו-9.3 (CVSS 4.0). המספרים האלה מתארים את המקרה הגרוע ביותר: יישום שנגיש מהרשת ומקבל קובצי PDF בלי התחברות ובלי מעורבות אנושית. Red Hat מעריכה את אותה פגיעות ב-7.8 ומכנה אותה „Moderate”, כי היא מעריכה את התרחיש שבו משתמש פותח קובץ זדוני במחשב שלו. אף אחד מהציונים אינו שגוי, הם עונים על שאלות שונות.

כמה ניסיונות, כמה הצלחות. Wordfence בנתה שני ניצולים עובדים לבנייה המעבדתית שלה, ואז הריצה אותם 10,240 פעמים בעשר סביבות אחרות: Debian,‏ Ubuntu,‏ Fedora,‏ AlmaLinux,‏ Alpine והקונטיינר הרשמי של וורדפרס. הם לא הצליחו אפילו פעם אחת. על הבנייה שעבורה נבנו הם המשיכו לעבוד, גם אחרי החלפת גופנים, הגדרות שפה וספריית מערכת בסיסית אחת, אם כי לא בכל ניסיון.

למסקנה יש שני צדדים. אין קובץ אחד שפותח כל שרת בעולם. אבל תוקף לא צריך קובץ אוניברסלי אם הוא מכוון לחברה מסוימת, או לספק אחסון שבו מאות אתרים רצים על תמונת מערכת זהה. החוקרים מזכירים שבמקרה דומה שנגע לספרייה libheif, צוות אחר, בעזרת בינה מלאכותית, התאים ניצול לכל מטרה חדשה בתוך יום או יומיים.

באילו הרשאות. הקוד של התוקף רץ תחת החשבון שמעבד את ה-PDF, בדרך כלל החשבון של שרת האינטרנט. זה לא root באופן אוטומטי, אבל החשבון הזה יכול בדרך כלל לקרוא את קובצי האתר, כולל קובץ התצורה עם הסיסמה למסד הנתונים.

מתקפות בפועל: נכון לכתיבת שורות אלה, איש לא דיווח על ניצול הפגיעות מחוץ למעבדה.

איך לבדוק את השרת שלכם

אישה במשקפיים מול מחשב נייד, ולידה גור חתולים מפוספס שמביט במסך בריכוז; על השולחן מונחת זכוכית מגדלת

אם יש לכם גישה לשורת הפקודה, התחילו בשלוש שאלות.

1. האם יש כאן בכלל Ghostscript, ומהי גרסת החבילה?

  • Debian ו-Ubuntu: dpkg -s ghostscript | grep Version
  • Fedora,‏ RHEL,‏ AlmaLinux: rpm -q ghostscript
  • לשם השלמה: gs --version, אבל המספר הזה לבדו לא מכריע דבר.

למה המספר לא מספיק? Ubuntu 22.04 תיקנה את הפגיעות בחבילה 9.55.0~dfsg1-0ubuntu5.14, שעדיין עונה „9.55.0” כששואלים אותה על הגרסה. ב-Debian 13 התיקון נמצא ב-10.05.1~dfsg-1+deb13u2 (עלון DSA-6516-1). Red Hat פרסמה תיקונים ל-RHEL 10, 9 ו-8 בין 1 ל-6 באוקטובר. לפי מעקב האבטחה של Debian, גרסה Debian 12 (bookworm) עדיין מסומנת כפגיעה. השוו תמיד לעלון של ההפצה שלכם.

יש גם מלכודת בכיוון ההפוך: גרסת המועמדת לשחרור 10.08.0 (RC) מציגה את עצמה כ-10.08.0, אבל התיקון לא נמצא בה. בדיוק היא רצה על מכונת הבדיקה של Wordfence. אם בניתם את Ghostscript מקוד המקור, ודאו שזו הגרסה הסופית.

2. האם ל-PHP יש Imagick? php -m | grep -i imagick. בלוח הבקרה של וורדפרס: כלים ← בריאות האתר ← מידע ← טיפול במדיה. זו רק נקודת פתיחה: היא מראה אם Imagick מזהה PDF, אבל לא אומרת דבר על כך אם Ghostscript עודכן.

3. האם ImageMagick יכול לקרוא PDF? convert -list format | grep -i pdf (ב-ImageMagick 7: magick -list format). האותיות rw ליד PDF פירושן שהדרך ל-Ghostscript פתוחה.

קונטיינרים: הפעלה מחדש לא מספיקה. משכו תמונת בסיס מעודכנת, בנו מחדש בלי שכבות מהמטמון ופרסו שוב.

אחסון משותף: בדרך כלל לא תוכלו לבדוק זאת בעצמכם. שאלו את הספק שתי שאלות: האם חבילת Ghostscript בשרתים שלו כוללת את התיקון ל-CVE-2026-39919, והאם קובצי PDF שלקוחות מעלים הופכים לתצוגות מקדימות במקום כלשהו במערכות שלו.

אם אי אפשר לעדכן מיד

  • הפסיקו לקבל קובצי PDF ממבקרים אנונימיים ומחשבונות בעלי הרשאות נמוכות. קובץ שלא מגיע לשרת לא מגיע ל-Ghostscript.
  • השביתו את קריאת ה-PDF במדיניות של ImageMagick. בקובץ policy.xml (בדרך כלל תחת /etc/ImageMagick-6/ או /etc/ImageMagick-7/) הוסיפו בתוך המקטע <policymap> את השורה <policy domain="coder" rights="none" pattern="{PS,PS2,PS3,EPS,PDF,XPS}" />. תופעת לוואי: וורדפרס יפסיק ליצור תמונות ממוזערות לקובצי PDF.
  • הגבילו את מספר הקבצים בכל שליחה ואת תדירות ההעלאות. זה מצמצם את מספר הניסיונות שיש לתוקף, אבל לא מתקן דבר.
  • בודדו את המרת המסמכים לשירות נפרד, בלי גישה לסודות של האתר ובלי חיבורי רשת מיותרים. זה מגביל את הנזק, אבל גם זה אינו תיקון.

מה לא לעשות: אל תתייחסו ל--dSAFER כאל הגנה. ארגז החול של Ghostscript מגביל את מה שמסמך יכול לעשות באמצעות היכולות המתועדות של PostScript. הוא לא מונע השחתת זיכרון, ובבדיקות התקלה התרחשה כשארגז החול היה מופעל. שום תוסף וורדפרס לא יכול לתקן את זה, כי Ghostscript מגיע ממערכת ההפעלה או מתמונת הקונטיינר, לא מוורדפרס.

אל תבלבלו בין הפגיעות הזאת לבין CVE-2026-65640. זה עניין אחר: הרצת קוד מרחוק בוורדפרס באמצעות העלאת קובץ PostScript, שעובר גם הוא דרך Imagick ו-Ghostscript, אבל דורש חשבון עם הרשאה להעלות קבצים (בדרך כלל תפקיד כותב ומעלה). היא תוקנה בוורדפרס 7.0.4, עם העברת התיקון לאחור עד ענף 4.7.

זו לא בעיה של וורדפרס בלבד

וורדפרס הוא רק אחת מדרכים רבות שבהן PDF של אדם זר יכול להגיע ל-Ghostscript. אותו הדבר נכון למערכות לניהול מסמכים, שרתי הדפסה, עיבוד חשבוניות, מחוללי תצוגה מקדימה, שערי דואר שסורקים צרופות וממשקי API להמרת קבצים. השאלה תמיד זהה: האם התוכנה הזאת מציגה קובצי PDF שהגיעו ממישהו אחר?

חיפוש המילה „Ghostscript” בקוד של היישום שלכם עלול לא להעלות כלום. בדרך כלל יושב באמצע ImageMagick או ספרייה אחרת, והיא זו שקוראת ל-Ghostscript.

מה זה אומר כששולחים קובצי PDF לרשת

לסיפור הזה יש גם צד שני, שמדברים עליו פחות. שירות „דחיסת PDF”, „המרת PDF לתמונה” או „איחוד קובצי PDF” בדפדפן הוא בדיוק סוג השרת שתיארנו למעלה: הוא מקבל קבצים מזרים ומעביר אותם דרך כלים שמפרקים אותם ומרכיבים אותם מחדש. אינכם יודעים במה ובאיזו גרסה המסמך שלכם מעובד, וגם לא אם עודכן אחרי 8 בספטמבר. מה שאתם כן יודעים הוא שהקובץ שלכם שוהה, לפחות לזמן מה, על אותה מכונה יחד עם קבצים של אלפי אנשים אחרים, וחלקם עשויים להיות מוכנים במיוחד.

אין פירוש הדבר שכל שירות מקוון פרוץ. פירושו שכשאתם מעלים חוזה, סריקה של תעודה מזהה או תוצאות בדיקות רפואיות, אתם מוסרים אותם למקום שאת אבטחתו אינכם יכולים לבדוק. עוד על כך במאמר על מה קורה לנתונים שלכם בהמרה מקוונת.

למען ההגינות, גם עיבוד מקומי אינו חסין מעצם טבעו. אם אתם דוחסים קובצי PDF בעצמכם עם Ghostscript, עדכנו אותו ל-10.08.0 או חדשה יותר. היתרון של עבודה לא מקוונת נמצא במקום אחר: המסמך אף פעם לא עוזב את המחשב שלכם, ואתם מחליטים איזו גרסת תוכנה תעבד אותו, לא מישהו שמעולם לא פגשתם.

אם אתם מאחדים, מפצלים, מצפינים או ממירים קובצי PDF ל-Word לעיתים קרובות, אפשר לעשות זאת בלי להעלות אותם לשום מקום. PDF Manipulator חינמי, פועל ב-Windows ובלינוקס, וכל קובץ נשאר במחשב שלכם.

לתמוך בנו

מקורות

פוסטים קשורים

השארת תגובה

האימייל לא יוצג באתר. שדות החובה מסומנים *

Scroll to Top