Ghostscript खामी CVE-2026-39919: एक PDF कैसे सर्वर पर क़ब्ज़ा कर सकती है, और असल में ख़तरा किसे है

ज़्यादातर लोगों ने Ghostscript कभी इंस्टॉल नहीं किया और उन्हें पता भी नहीं कि वे इसका इस्तेमाल करते हैं। फिर भी यह प्रोग्राम बहुत बड़ी संख्या में सर्वरों के पीछे चुपचाप चलता है: WordPress, दस्तावेज़ प्रबंधन प्रणालियों, मेल गेटवे और “अपनी PDF ऑनलाइन कंप्रेस करें” जैसी सेवाओं में अपलोड की गई PDF को थंबनेल में बदलने वाला यही प्रोग्राम है। सितंबर 2026 में इसमें एक ऐसी खामी ठीक की गई, जिसकी वजह से जान-बूझकर तैयार की गई PDF उस मशीन पर बाहरी कोड चलवा सकती है जो फ़ाइल को प्रोसेस करती है।

नीचे वह है जो पक्के तौर पर पता है, जो नहीं पता, अपना सर्वर कैसे जाँचें, और यह मामला उन सभी के लिए क्या मायने रखता है जो अपने दस्तावेज़ इंटरनेट पर प्रोसेस करवाने भेजते हैं।

संक्षेप में

• खामी: CVE-2026-39919, Ghostscript में JPEG 2000 इमेज संभालने वाले हिस्से में हीप बफ़र ओवरफ़्लो। इसके लिए ख़ास तौर पर तैयार की गई इमेज वाली एक PDF काफ़ी है।
• प्रभावित संस्करण: खोजकर्ताओं के अनुसार 9.21 से 10.07.1 तक (CVE रिकॉर्ड मोटे तौर पर “10.08.0 से पहले के” कहता है)।
• सुधार: Ghostscript 10.08.0, जो 8 सितंबर 2026 को जारी हुआ। Linux वितरण सुधार को पुराने संस्करण नंबरों में भी पहुँचा देते हैं, इसलिए मायने पैकेज का पूरा संशोधन (revision) रखता है, न कि वह जो gs --version दिखाता है।
• गंभीरता: CVE रिकॉर्ड के अनुसार CVSS 3.1 में 9.8, Red Hat के अनुसार 7.8 (“Moderate”)। दोनों संख्याएँ ईमानदार हैं, बस अलग-अलग परिस्थितियों का वर्णन करती हैं।
• वास्तविक हमले: अब तक कोई पुष्ट नहीं हुआ। काम करने वाला एक्सप्लॉइट प्रयोगशाला में बना था और एक ख़ास बिल्ड के हिसाब से ढाला गया था।
• -dSAFER सुरक्षा नहीं देता। सैंडबॉक्स चालू होने पर भी यह खामी सक्रिय हो जाती है।

क्या हुआ

यह खामी WordPress सुरक्षा पर काम करने वाली कंपनी Wordfence ने अपने AI-सहायता वाले परीक्षण तंत्र Argus से खोजी। तारीख़ 23 अगस्त 2026 थी, और WordPress 7.1 की सुरक्षा समीक्षा चल रही थी। इस टूल ने अपलोड की गई फ़ाइल का पीछा उस PHP कोड से आगे तक किया जिसने उसे स्वीकार किया था: Imagick एक्सटेंशन से होते हुए, ImageMagick से होते हुए, सबसे नीचे Ghostscript और JPEG 2000 डिकोडर तक।

Ghostscript विकसित करने वाली कंपनी Artifex ने अगले ही दिन रिपोर्ट की पुष्टि की और 8 सितंबर को सुधार के साथ संस्करण 10.08.0 जारी किया। CVE रिकॉर्ड 15 सितंबर को प्रकाशित हुआ। Wordfence ने तकनीकी विवरण 12 अक्टूबर को सार्वजनिक किए, और एक दिन बाद BleepingComputer व बाक़ी उद्योग मीडिया ने ख़बर उठाई।

खामी कैसे काम करती है

इसे समझने के लिए C भाषा जानना ज़रूरी नहीं। इमेज सैंपलों का एक ग्रिड होती है। JPEG 2000 इमेज के घटकों (जैसे चमक और पारदर्शिता) को अलग-अलग रेज़ोल्यूशन रखने देता है, और एक सैंपल को 8 बिट से कम जगह लेने देता है। 2-बिट सैंपलों में से चार एक बाइट में समा जाते हैं।

शोधकर्ताओं के बताए उदाहरण में इमेज की एक पंक्ति में ऐसे 1,024 सैंपल हैं। पैक करने पर ये 256 बाइट बनते हैं, और Ghostscript सही ढंग से 256 बाइट आरक्षित करता है। लेकिन जब ऊपर की दोनों शर्तें एक साथ पूरी होती हैं, तो पंक्ति भरने वाला लूप हर बाइट में चार सैंपल पैक करने के बजाय हर सैंपल के लिए पूरी एक बाइट लिख देता है। 256 बाइट के बफ़र में 1,024 बाइट पहुँच जाते हैं। हर पंक्ति के फ़ालतू 768 बाइट उस मेमोरी को मिटाकर लिख देते हैं जहाँ Ghostscript अपना प्रबंधन डेटा रखता है। और चूँकि ये बाइट इमेज से आते हैं, उनकी सामग्री फ़ाइल बनाने वाला चुनता है।

यह “प्रोग्राम क्रैश हो गया” से “प्रोग्राम ने वही किया जो हमलावर चाहता था” तक का पारंपरिक रास्ता है। आधुनिक सिस्टम इस रास्ते को काफ़ी कठिन बना देते हैं (मेमोरी की बेतरतीब व्यवस्था और दूसरी सुरक्षाएँ), लेकिन पूरी तरह बंद नहीं करते।

WordPress में PDF Ghostscript तक कैसे पहुँचती है

WordPress PDF के प्रीव्यू ख़ुद नहीं बनाता। संस्करण 4.7 से यह अपलोड किए गए दस्तावेज़ के पहले पन्ने की इमेज बना सकता है, और यह काम दूसरे प्रोग्रामों की मदद से करता है। श्रृंखला ऐसी दिखती है:

WordPress → PHP एक्सटेंशन Imagick → ImageMagick → Ghostscript

Ghostscript एक अलग प्रोसेस के रूप में चलता है, आम तौर पर उसी खाते से जिससे वेब सर्वर चलता है। यह तभी शुरू होता है जब कोई PDF की इमेज माँगता है। जो फ़ॉर्म फ़ाइल को डिस्क पर सहेजकर उसके साथ और कुछ नहीं करता, वह इसे कभी शुरू नहीं करता।

इस रास्ते से हमले के लिए चारों शर्तों का एक साथ पूरा होना ज़रूरी है:

1. बाहर का कोई व्यक्ति (गुमनाम रूप से या कम अधिकारों वाले खाते से) PDF अपलोड कर सकता है,
2. साइट उस फ़ाइल का प्रीव्यू या थंबनेल माँगती है,
3. सर्वर पर Imagick या कोई दूसरा टूल है जो इसके लिए Ghostscript को बुलाता है, और ImageMagick की नीति PDF पढ़ने की अनुमति देती है,
4. इंस्टॉल किए गए Ghostscript में सुधार नहीं है।

एक अहम शर्त: सामान्य WordPress गुमनाम आगंतुकों को मीडिया लाइब्रेरी में फ़ाइलें अपलोड करने नहीं देता। हमलावर को ऐसा प्लगइन, अटैचमेंट वाला फ़ॉर्म या खाता चाहिए जो यह रास्ता खोले। Wordfence ने WordPress की आधिकारिक Docker इमेज भी जाँची: उसमें कमज़ोर Ghostscript 10.05.1, Imagick एक्सटेंशन और काम करता PDF प्रीव्यू रास्ता मौजूद था। फिर भी अकेले वह गुमनाम हमले के लिए काफ़ी नहीं थी।

एक बारीकी हमलावर के पक्ष में जाती है: जब प्रीव्यू बनाने की पहली कोशिश विफल होती है, तो WordPress अपने-आप दूसरी सेटिंग्स के साथ दोबारा कोशिश करता है। यानी तीन दुर्भावनापूर्ण अटैचमेंट का मतलब है Ghostscript के छह रन। Wordfence के परीक्षण में फ़ॉर्म “अपलोड सफल” दिखाता रहा, जबकि Ghostscript पृष्ठभूमि में चुपचाप क्रैश होता रहा।

यह WordPress या फ़ॉर्म प्लगइन की खामी नहीं है। वे बस वह रास्ता थे जिससे फ़ाइल Ghostscript तक पहुँची।

असल में यह कितना ख़तरनाक है

यहाँ ठहरना ज़रूरी है, क्योंकि “एक PDF आपके सर्वर पर क़ब्ज़ा कर लेती है” जैसी सुर्ख़ियाँ आधा सच ही बताती हैं।

दो अलग स्कोर क्यों। CVE रिकॉर्ड 10 में से 9.8 (CVSS 3.1) और 9.3 (CVSS 4.0) देता है। ये संख्याएँ सबसे बुरी स्थिति बताती हैं: नेटवर्क से पहुँचने लायक़ ऐसा एप्लिकेशन जो बिना लॉगिन और बिना किसी इंसानी दख़ल के PDF स्वीकार करता है। Red Hat इसी खामी को 7.8 देता है और “Moderate” कहता है, क्योंकि वह उस स्थिति को आँकता है जिसमें उपयोगकर्ता अपने ही कंप्यूटर पर दुर्भावनापूर्ण फ़ाइल खोलता है। दोनों में से कोई ग़लत नहीं, वे अलग-अलग सवालों के जवाब देते हैं।

कितनी कोशिशें, कितनी सफलताएँ। Wordfence ने अपनी प्रयोगशाला वाली बिल्ड के लिए दो काम करने वाले एक्सप्लॉइट बनाए, फिर उन्हें दस दूसरे परिवेशों में 10,240 बार चलाया: Debian, Ubuntu, Fedora, AlmaLinux, Alpine और WordPress का आधिकारिक कंटेनर। वे एक बार भी सफल नहीं हुए। जिस बिल्ड के लिए वे बने थे, उस पर वे फ़ॉन्ट, भाषा सेटिंग और एक मूल सिस्टम लाइब्रेरी बदलने के बाद भी काम करते रहे, हालाँकि हर कोशिश में नहीं।

निष्कर्ष के दो पहलू हैं। ऐसी कोई एक फ़ाइल नहीं जो दुनिया का हर सर्वर खोल दे। लेकिन किसी ख़ास कंपनी को, या ऐसी होस्टिंग को निशाना बनाने वाले हमलावर को सार्वभौमिक फ़ाइल की ज़रूरत नहीं, जहाँ सैकड़ों साइटें एक जैसी सिस्टम इमेज पर चलती हैं। शोधकर्ता याद दिलाते हैं कि libheif लाइब्रेरी से जुड़े मिलते-जुलते मामले में एक दूसरी टीम ने AI की मदद से हर नए लक्ष्य के लिए एक-दो दिन में एक्सप्लॉइट ढाल लिया था।

किन अधिकारों के साथ। हमलावर का कोड उस खाते से चलता है जो PDF को प्रोसेस करता है, आम तौर पर वेब सर्वर का खाता। यह अपने-आप root नहीं है, लेकिन यह खाता अक्सर साइट की फ़ाइलें पढ़ सकता है, जिनमें डेटाबेस पासवर्ड वाली कॉन्फ़िगरेशन भी शामिल है।

वास्तविक हमले: यह लेख लिखे जाने तक किसी ने प्रयोगशाला के बाहर इस खामी के दुरुपयोग की सूचना नहीं दी है।

अपना सर्वर कैसे जाँचें

अगर आपके पास शेल की पहुँच है, तो तीन सवालों से शुरू करें।

1. क्या यहाँ Ghostscript है, और पैकेज का संशोधन क्या है?

• Debian और Ubuntu: dpkg -s ghostscript | grep Version
• Fedora, RHEL, AlmaLinux: rpm -q ghostscript
• पूर्णता के लिए: gs --version, लेकिन यह नंबर अकेले कुछ तय नहीं करता।

नंबर काफ़ी क्यों नहीं? Ubuntu 22.04 ने यह खामी 9.55.0~dfsg1-0ubuntu5.14 पैकेज में ठीक की, जो संस्करण पूछने पर अब भी “9.55.0” बताता है। Debian 13 में सुधार 10.05.1~dfsg-1+deb13u2 में है (सुरक्षा सूचना DSA-6516-1)। Red Hat ने RHEL 10, 9 और 8 के सुधार 1 से 6 अक्टूबर के बीच जारी किए। Debian ट्रैकर के अनुसार Debian 12 (bookworm) अब भी कमज़ोर के रूप में चिह्नित है। हमेशा अपने वितरण की सुरक्षा सूचना से मिलान करें।

उल्टी दिशा में भी एक जाल है: 10.08.0 का रिलीज़ कैंडिडेट (RC) ख़ुद को 10.08.0 बताता है, पर उसमें सुधार नहीं है। Wordfence की परीक्षण मशीन पर यही चल रहा था। अगर आपने Ghostscript सोर्स से बनाया है, तो पक्का करें कि वह अंतिम रिलीज़ है।

2. क्या PHP में Imagick है? php -m | grep -i imagick। WordPress डैशबोर्ड में: उपकरण → साइट स्वास्थ्य → जानकारी → मीडिया हैंडलिंग। यह बस शुरुआती बिंदु है: इससे पता चलता है कि Imagick PDF को पहचानता है या नहीं, लेकिन Ghostscript पैच हुआ या नहीं, इसके बारे में कुछ नहीं।

3. क्या ImageMagick PDF पढ़ सकता है? convert -list format | grep -i pdf (ImageMagick 7 में: magick -list format)। PDF के पास rw अक्षरों का मतलब है कि Ghostscript तक का रास्ता खुला है।

कंटेनर: रीस्टार्ट काफ़ी नहीं। अपडेट की गई बेस इमेज लें, कैश की गई परतों के बिना दोबारा बिल्ड करें और फिर से डिप्लॉय करें।

साझा होस्टिंग: आम तौर पर आप इसे ख़ुद नहीं जाँच सकते। अपने प्रदाता से दो सवाल पूछें: क्या उसके सर्वरों के Ghostscript पैकेज में CVE-2026-39919 का सुधार शामिल है, और क्या ग्राहकों की अपलोड की गई PDF उसके सिस्टम में कहीं प्रीव्यू में बदली जाती हैं?

अगर तुरंत अपडेट नहीं कर सकते

• गुमनाम आगंतुकों और कम अधिकार वाले खातों से PDF लेना बंद करें। जो फ़ाइल सर्वर तक नहीं पहुँचती, वह Ghostscript तक भी नहीं पहुँचती।
• ImageMagick की नीति में PDF पढ़ना बंद करें। policy.xml फ़ाइल में (आम तौर पर /etc/ImageMagick-6/ या /etc/ImageMagick-7/ में) <policymap> खंड के भीतर <policy domain="coder" rights="none" pattern="{PS,PS2,PS3,EPS,PDF,XPS}" /> पंक्ति जोड़ें। दुष्प्रभाव: WordPress PDF के थंबनेल बनाना बंद कर देगा।
• हर सबमिशन में फ़ाइलों की संख्या और अपलोड की आवृत्ति सीमित करें। इससे हमलावर को मिलने वाली कोशिशें घटती हैं, पर कुछ ठीक नहीं होता।
• दस्तावेज़ रूपांतरण को अलग करें: उसे ऐसी अलग सेवा में चलाएँ जिसकी साइट के गुप्त डेटा तक पहुँच न हो और जिसमें ग़ैरज़रूरी नेटवर्क कनेक्शन न हों। इससे नुक़सान सीमित होता है, पर यह भी सुधार नहीं है।

क्या न करें: -dSAFER को सुरक्षा न मानें। Ghostscript का सैंडबॉक्स यह सीमित करता है कि दस्तावेज़ PostScript की प्रलेखित सुविधाओं से क्या कर सकता है। यह मेमोरी के बिगड़ने को नहीं रोकता, और परीक्षणों में सैंडबॉक्स चालू रहते हुए खामी सक्रिय हुई। कोई भी WordPress प्लगइन इसे ठीक नहीं कर सकता, क्योंकि Ghostscript WordPress से नहीं, ऑपरेटिंग सिस्टम या कंटेनर इमेज से आता है।

इस खामी को CVE-2026-65640 से न मिलाएँ। वह अलग मामला है: PostScript फ़ाइल अपलोड करके WordPress में रिमोट कोड चलाना, जो Imagick और Ghostscript से होकर भी गुज़रता है, लेकिन उसके लिए फ़ाइल अपलोड करने की अनुमति वाला खाता चाहिए (आम तौर पर लेखक भूमिका या उससे ऊपर)। इसे WordPress 7.0.4 में ठीक किया गया, और सुधार 4.7 शाखा तक पीछे पहुँचाया गया।

यह सिर्फ़ WordPress की समस्या नहीं है

WordPress उन कई रास्तों में से एक है जिनसे किसी अजनबी की PDF Ghostscript तक पहुँच सकती है। यही बात दस्तावेज़ प्रबंधन प्रणालियों, प्रिंट सर्वरों, चालान प्रोसेसिंग, प्रीव्यू बनाने वाले टूल, अटैचमेंट जाँचने वाले मेल गेटवे और फ़ाइल रूपांतरण API पर भी लागू होती है। सवाल हमेशा एक ही है: क्या यह सॉफ़्टवेयर किसी और से आई PDF को रेंडर करता है?

अपने एप्लिकेशन के कोड में “Ghostscript” शब्द खोजने से शायद कुछ न मिले। आम तौर पर बीच में ImageMagick या कोई दूसरी लाइब्रेरी होती है, और Ghostscript को वही बुलाती है।

PDF ऑनलाइन भेजने के लिए इसका मतलब

इस कहानी का एक दूसरा पहलू भी है, जिसकी कम चर्चा होती है। ब्राउज़र में चलने वाली “PDF कंप्रेस करें”, “PDF को इमेज में बदलें” या “PDF जोड़ें” जैसी सेवा ठीक उसी तरह का सर्वर है जिसकी ऊपर बात हुई: वह अजनबियों से फ़ाइलें लेती है और उन्हें ऐसे टूल से गुज़ारती है जो उन्हें खोलकर फिर से जोड़ते हैं। आपको नहीं पता कि आपका दस्तावेज़ किस चीज़ से और किस संस्करण में प्रोसेस होता है, या 8 सितंबर के बाद अपडेट हुआ या नहीं। आपको बस इतना पता है कि आपकी फ़ाइल कम से कम कुछ देर हज़ारों दूसरे लोगों की फ़ाइलों के साथ एक ही मशीन पर रहती है, और उनमें से कुछ जान-बूझकर तैयार की गई हो सकती हैं।

इसका मतलब यह नहीं कि हर ऑनलाइन सेवा में छेद हैं। इसका मतलब है कि अनुबंध, पहचान-पत्र का स्कैन या जाँच रिपोर्ट अपलोड करते समय आप उन्हें ऐसी जगह सौंपते हैं जिसकी सुरक्षा आप जाँच नहीं सकते। इस पर और जानकारी ऑनलाइन PDF टूल के जोखिमों वाले लेख में है।

निष्पक्षता से कहें तो लोकल प्रोसेसिंग भी अपने-आप सुरक्षित नहीं होती। अगर आप ख़ुद Ghostscript से PDF कंप्रेस करते हैं, जैसा PDF संपीड़न गाइड में है, तो उसे 10.08.0 या नए संस्करण पर अपडेट करें। ऑफ़लाइन काम का फ़ायदा कहीं और है: दस्तावेज़ कभी आपके कंप्यूटर से बाहर नहीं जाता, और उसे कौन-सा सॉफ़्टवेयर संस्करण प्रोसेस करेगा, यह आप तय करते हैं, कोई ऐसा व्यक्ति नहीं जिससे आप कभी मिले ही नहीं।

अगर आप अक्सर PDF जोड़ते, बाँटते, एन्क्रिप्ट करते या Word में बदलते हैं, तो यह सब उन्हें कहीं अपलोड किए बिना कर सकते हैं। PDF Manipulator मुफ़्त है, Windows और Linux पर चलता है, और हर फ़ाइल आपके कंप्यूटर पर ही रहती है।

डाउनलोड

हमें समर्थन

स्रोत

• Wordfence, Wordfence Argus Discovers Critical Vulnerability in Ghostscript (12.10.2026) — मूल विवरण: रिपोर्ट का क्रम, WordPress में श्रृंखला, 10,240 कोशिशों वाले परीक्षण, पैकेज तालिका, सिफ़ारिशें
• BleepingComputer, Ghostscript flaw lets hackers hijack servers via PDF uploads (13.10.2026)
• Artifex, Ghostscript — रिलीज़ नोट्स — 8 सितंबर 2026 का 10.08.0
• CVE.org, CVE-2026-39919 और NIST, NVD
• Red Hat, CVE-2026-39919 — Moderate (7.8) आकलन, RHEL 8, 9 और 10 के सुधार
• Debian, Security Tracker: CVE-2026-39919 — रिलीज़ के अनुसार पैकेज की स्थिति
• ImageMagick, Security Policy — policy.xml का सिंटैक्स
• OpenCVE, CVE-2026-65640 — 7.0.4 में ठीक की गई संबंधित WordPress खामी
• Dr. Web, Ghostscript-Lücke: Präparierte PDFs gefährden WordPress-Server (13.10.2026, जर्मन में)