Flestir hafa aldrei sett upp Ghostscript og vita ekki að þeir nota það. Samt keyrir forritið á bak við tjöldin á gríðarlegum fjölda netþjóna: það er það sem breytir innsendu PDF-skjali í smámynd í WordPress, í skjalastjórnunarkerfum, í póstgáttum og í þjónustum á borð við „þjappaðu PDF-skjalinu þínu á netinu“. Í september 2026 var lagaður í því galli sem gerir sérútbúnu PDF-skjali kleift að leiða til keyrslu framandi kóða á vélinni sem vinnur skrána.
Hér á eftir kemur það sem vitað er með vissu, það sem ekki er vitað, hvernig þú athugar eigin netþjón og hvað sagan þýðir fyrir alla sem senda skjöl sín í vinnslu á netinu.
Í stuttu máli
- Gallinn: CVE-2026-39919, yfirflæði í biðminni á heap-svæði í meðhöndlun Ghostscript á JPEG 2000-myndum. PDF-skjal með sérútbúinni mynd nægir.
- Viðkvæmar útgáfur: frá 9.21 til 10.07.1 samkvæmt þeim sem fundu gallann (CVE-skráin segir almennt „eldri en 10.08.0“).
- Lagfæringin: Ghostscript 10.08.0, gefið út 8. september 2026. Linux-dreifingar færa lagfæringuna yfir í eldri útgáfunúmer, svo það sem skiptir máli er heildarútgáfa pakkans, ekki það sem
gs --versionsýnir. - Alvarleiki: 9,8 á CVSS 3.1 samkvæmt CVE-skránni, 7,8 („Moderate“) samkvæmt Red Hat. Báðar tölurnar eru heiðarlegar, þær lýsa einfaldlega ólíkum aðstæðum.
- Raunverulegar árásir: engar staðfestar hingað til. Virkur árásarkóði var smíðaður á rannsóknarstofu og sniðinn að einni tiltekinni smíð.
-dSAFERveitir ekki vernd. Gallinn kemur fram þótt sandkassinn sé virkur.
Hvað gerðist
Gallann fann Wordfence, fyrirtæki sem sérhæfir sig í öryggi WordPress, með Argus, gervigreindarstuddu prófunarkerfi sínu. Það var 23. ágúst 2026, við öryggisúttekt á WordPress 7.1. Tólið fylgdi innsendri skrá lengra en PHP-kóðanum sem tók við henni: í gegnum Imagick-viðbótina, í gegnum ImageMagick, alla leið niður í Ghostscript og JPEG 2000-afkóðarann neðst.
Artifex, fyrirtækið sem þróar Ghostscript, staðfesti tilkynninguna daginn eftir og gaf út útgáfu 10.08.0 með lagfæringunni 8. september. CVE-skráin var birt 15. september. Wordfence birti tæknilegu smáatriðin 12. október og degi síðar tóku BleepingComputer og aðrir fagmiðlar málið upp.
Hvernig gallinn virkar
Það þarf ekki að kunna C til að skilja þetta. Mynd er net af sýnum. JPEG 2000 leyfir að þættir myndar (til dæmis birta og gegnsæi) hafi ólíka upplausn og að eitt sýni taki minna en 8 bita. Með 2 bita sýnum komast fjögur fyrir í einu bæti.
Í dæminu sem rannsakendurnir lýsa inniheldur ein lína myndarinnar 1.024 slík sýni. Pökkuð taka þau 256 bæti og Ghostscript tekur réttilega frá 256 bæti. En þegar bæði skilyrðin hér að ofan eiga við samtímis skrifar lykkjan sem fyllir línuna heilt bæti fyrir hvert sýni í stað þess að pakka fjórum í hvert bæti. 1.024 bæti lenda í 256 bæta biðminni. Umframbætin 768 í hverri línu skrifa yfir minnið þar sem Ghostscript geymir eigin stjórnunargögn. Og þar sem þessi bæti koma úr myndinni ræður sá sem bjó til skrána innihaldi þeirra.
Þetta er sígilda leiðin frá „forritið hrundi“ til „forritið gerði það sem árásaraðilinn vildi“. Nútímakerfi gera þessa leið miklu erfiðari (slembin staðsetning í minni og aðrar varnir) en loka henni ekki alveg.
Hvernig PDF-skjal kemst til Ghostscript í WordPress
WordPress teiknar ekki sjálft forskoðanir af PDF-skjölum. Frá útgáfu 4.7 getur það búið til mynd af fyrstu síðu innsends skjals og gerir það með hjálp annarra forrita. Keðjan lítur svona út:
WordPress → PHP-viðbótin Imagick → ImageMagick → Ghostscript
Ghostscript keyrir sem sérstakt ferli, yfirleitt undir sama aðgangi og vefþjónninn. Það ræsist aðeins þegar eitthvað biður um mynd af PDF-skjalinu. Eyðublað sem vistar skrána á disk og gerir ekkert annað við hana ræsir það aldrei.
Árás eftir þessari leið krefst þess að öll fjögur skilyrðin séu uppfyllt samtímis:
- einhver utanaðkomandi (nafnlaust eða með aðgang með lítil réttindi) getur sent inn PDF-skjal,
- vefurinn biður um forskoðun eða smámynd af skránni,
- á netþjóninum er Imagick eða annað tól sem kallar á Ghostscript í þessu skyni, og stefna ImageMagick leyfir lestur PDF-skjala,
- uppsett Ghostscript er án lagfæringarinnar.
Mikilvægur fyrirvari: hefðbundið WordPress leyfir nafnlausum gestum ekki að hlaða skrám inn í efnissafnið. Árásaraðilinn þarf viðbót, eyðublað með viðhengisreit eða aðgang sem opnar þessa leið. Wordfence skoðaði einnig opinberu Docker-mynd WordPress: hún innihélt viðkvæmt Ghostscript 10.05.1, Imagick-viðbótina og virka leið fyrir PDF-forskoðun. Ein og sér dugði hún þó ekki fyrir nafnlausa árás.
Eitt smáatriði vinnur með árásaraðilanum: þegar fyrsta tilraun til að búa til forskoðun mistekst reynir WordPress sjálfkrafa aftur með öðrum stillingum. Þrjú illgjörn viðhengi þýða því sex keyrslur Ghostscript. Í prófun Wordfence sagði eyðublaðið áfram að innsendingin hefði tekist á meðan Ghostscript hrundi hljóðlaust í bakgrunni.
Þetta er ekki galli í WordPress eða í eyðublaðaviðbótinni. Þau voru aðeins leiðin sem skráin fór til Ghostscript.
Hversu hættulegt er þetta í raun
Hér er vert að staldra við, því fyrirsagnir á borð við „eitt PDF-skjal tekur yfir netþjóninn þinn“ segja aðeins hálfan sannleikann.
Af hverju tvær ólíkar einkunnir. CVE-skráin gefur 9,8 af 10 (CVSS 3.1) og 9,3 (CVSS 4.0). Þessar tölur lýsa versta tilviki: forriti sem er aðgengilegt af netinu og tekur við PDF-skjölum án innskráningar og án mannlegrar aðkomu. Red Hat metur sama galla á 7,8 og kallar hann „Moderate“, því þar eru metnar aðstæður þar sem notandi opnar illgjarna skrá á eigin tölvu. Hvorug einkunnin er röng, þær svara ólíkum spurningum.
Hve margar tilraunir, hve margir sigrar. Wordfence smíðaði tvo virka árásarkóða fyrir rannsóknarstofusmíð sína og keyrði þá síðan 10.240 sinnum í tíu öðrum umhverfum: Debian, Ubuntu, Fedora, AlmaLinux, Alpine og opinbera WordPress-gáminum. Þeir virkuðu ekki einu sinni. Á smíðinni sem þeir voru gerðir fyrir virkuðu þeir áfram, jafnvel eftir breytingar á leturgerðum, tungumálastillingum og einu grunnsafni kerfisins, þó ekki í hverri tilraun.
Niðurstaðan hefur tvær hliðar. Það er engin ein skrá sem opnar alla netþjóna heims. En árásaraðili þarf ekki alhliða skrá ef hann beinir spjótum sínum að tilteknu fyrirtæki eða að hýsingu þar sem hundruð vefja keyra á eins kerfismynd. Rannsakendurnir benda á að í svipuðu máli tengdu libheif-safninu hafi annað teymi, með aðstoð gervigreindar, aðlagað árásarkóða að hverju nýju skotmarki á einum til tveimur dögum.
Með hvaða réttindum. Kóði árásaraðilans keyrir undir aðganginum sem vinnur PDF-skjalið, yfirleitt aðgangi vefþjónsins. Það er ekki sjálfkrafa root, en þessi aðgangur getur yfirleitt lesið skrár vefsins, þar á meðal stillingarnar með lykilorði gagnagrunnsins.
Raunverulegar árásir: þegar þetta er skrifað hefur enginn tilkynnt um misnotkun gallans utan rannsóknarstofu.
Hvernig þú athugar eigin netþjón
Ef þú hefur aðgang að skipanalínu skaltu byrja á þremur spurningum.
1. Er Ghostscript hér yfirhöfuð og í hvaða pakkaútgáfu?
- Debian og Ubuntu:
dpkg -s ghostscript | grep Version - Fedora, RHEL, AlmaLinux:
rpm -q ghostscript - Til fyllingar:
gs --version, en það númer eitt og sér sker ekki úr um neitt.
Af hverju dugar númerið ekki? Ubuntu 22.04 lagaði gallann í pakkanum 9.55.0~dfsg1-0ubuntu5.14, sem svarar enn „9.55.0“ þegar spurt er um útgáfu. Debian 13 er með lagfæringuna í 10.05.1~dfsg-1+deb13u2 (tilkynning DSA-6516-1). Red Hat gaf út lagfæringar fyrir RHEL 10, 9 og 8 á tímabilinu 1. til 6. október. Samkvæmt öryggisyfirliti Debian er Debian 12 (bookworm) enn merkt sem viðkvæmt. Berðu alltaf saman við tilkynningu þinnar dreifingar.
Það er líka gildra í hina áttina: forútgáfan 10.08.0 (RC) segist vera 10.08.0 en inniheldur ekki lagfæringuna. Einmitt hún keyrði á prófunarvél Wordfence. Ef þú smíðaðir Ghostscript úr frumkóða skaltu ganga úr skugga um að það sé lokaútgáfan.
2. Er PHP með Imagick? php -m | grep -i imagick. Í stjórnborði WordPress: Verkfæri → Heilsa vefs → Upplýsingar → Meðhöndlun efnis. Það er aðeins upphafspunktur: það sýnir hvort Imagick þekkir PDF, en segir ekkert um hvort Ghostscript sé lagfært.
3. Má ImageMagick lesa PDF-skjöl? convert -list format | grep -i pdf (í ImageMagick 7: magick -list format). Stafirnir rw við PDF þýða að leiðin til Ghostscript er opin.
Gámar: endurræsing dugar ekki. Sæktu uppfærða grunnmynd, smíðaðu upp á nýtt án lögum úr skyndiminni og dreifðu aftur.
Samnýtt hýsing: yfirleitt geturðu ekki athugað þetta sjálf(ur). Spurðu hýsingaraðilann tveggja spurninga: inniheldur Ghostscript-pakkinn á netþjónum hans lagfæringuna við CVE-2026-39919, og er PDF-skjölum sem viðskiptavinir senda inn breytt í forskoðanir einhvers staðar í kerfum hans?
Ef þú getur ekki uppfært strax
- Hættu að taka við PDF-skjölum frá nafnlausum gestum og aðgöngum með lítil réttindi. Skrá sem kemst aldrei á netþjóninn kemst aldrei til Ghostscript.
- Slökktu á lestri PDF-skjala í stefnu ImageMagick. Í skránni
policy.xml(yfirleitt undir/etc/ImageMagick-6/eða/etc/ImageMagick-7/) skaltu bæta línunni<policy domain="coder" rights="none" pattern="{PS,PS2,PS3,EPS,PDF,XPS}" />inn í hlutann<policymap>. Aukaverkun: WordPress hættir að búa til smámyndir af PDF-skjölum. - Takmarkaðu fjölda skráa í hverri innsendingu og tíðni innsendinga. Það fækkar tilraunum sem árásaraðili fær, en lagar ekkert.
- Einangraðu skjalabreytingar í sérstakri þjónustu án aðgangs að leyndarmálum vefsins og án óþarfra nettenginga. Það takmarkar skaðann en er heldur ekki lagfæring.
Það sem þú skalt ekki gera: ekki líta á -dSAFER sem vörn. Sandkassi Ghostscript takmarkar hvað skjal getur gert með skjalfestum PostScript-aðgerðum. Hann kemur ekki í veg fyrir minnisspillingu og í prófunum kom gallinn fram með sandkassann virkan. Engin WordPress-viðbót getur lagað þetta, því Ghostscript kemur frá stýrikerfinu eða gámamyndinni, ekki frá WordPress.
Ekki rugla þessum galla saman við CVE-2026-65640. Það er annað mál: fjarkeyrsla kóða í WordPress með innsendingu PostScript-skrár, sem fer líka í gegnum Imagick og Ghostscript en krefst aðgangs með heimild til að hlaða inn skrám (yfirleitt hlutverkið Höfundur eða hærra). Það var lagað í WordPress 7.0.4 með bakfærslum allt aftur í grein 4.7.
Þetta er ekki bara vandamál WordPress
WordPress er aðeins ein af mörgum leiðum sem PDF-skjal ókunnugs aðila getur farið til Ghostscript. Sama gildir um skjalastjórnunarkerfi, prentþjóna, reikningavinnslu, forskoðunarkerfi, póstgáttir sem skanna viðhengi og API fyrir skráabreytingar. Spurningin er alltaf sú sama: birtir þessi hugbúnaður PDF-skjöl sem komu frá einhverjum öðrum?
Að leita að orðinu „Ghostscript“ í kóða eigin forrits gæti engu skilað. Yfirleitt situr ImageMagick eða annað safn á milli og það er það sem kallar á Ghostscript.
Hvað þetta þýðir þegar PDF-skjöl eru send á netið
Þessi saga hefur aðra hlið sem minna er rætt um. Þjónusta í vafranum sem „þjappar PDF“, „breytir PDF í mynd“ eða „sameinar PDF-skjöl“ er nákvæmlega sú tegund netþjóns sem fjallað er um hér að ofan: hún tekur við skrám frá ókunnugum og rennir þeim í gegnum tól sem taka þær í sundur og setja saman aftur. Þú veist ekki með hverju eða í hvaða útgáfu skjalið þitt er unnið, né hvort uppfært var eftir 8. september. Það sem þú veist er að skráin þín liggur, að minnsta kosti um stund, á sömu vél og skrár þúsunda annarra, og sumar þeirra geta verið sérútbúnar.
Það þýðir ekki að allar netþjónustur séu götóttar. Það þýðir að þegar þú sendir inn samning, skannað skilríki eða niðurstöður læknisrannsókna afhendirðu þau stað sem þú getur ekki sannreynt öryggið á. Meira um þetta í greininni um hvað verður um gögnin þín í umbreytingu á netinu.
Til sanngirni skal tekið fram að staðbundin vinnsla er ekki ónæm í eðli sínu. Ef þú þjappar PDF-skjölum sjálf(ur) með Ghostscript skaltu uppfæra það í 10.08.0 eða nýrra. Kosturinn við að vinna án nettengingar liggur annars staðar: skjalið fer aldrei af tölvunni þinni og þú ákveður hvaða hugbúnaðarútgáfa vinnur það, ekki einhver sem þú hefur aldrei hitt.
Ef þú sameinar, skiptir, dulkóðar eða breytir PDF-skjölum í Word reglulega geturðu gert það án þess að senda þau nokkurt. PDF Manipulator er ókeypis, keyrir á Windows og Linux, og hver skrá verður eftir á tölvunni þinni.
Heimildir
- Wordfence, Wordfence Argus Discovers Critical Vulnerability in Ghostscript (12.10.2026) — upprunalega lýsingin: ferill tilkynningarinnar, keðjan í WordPress, prófanir með 10.240 tilraunum, pakkatafla, ráðleggingar
- BleepingComputer, Ghostscript flaw lets hackers hijack servers via PDF uploads (13.10.2026)
- Artifex, Ghostscript — útgáfuupplýsingar — 10.08.0 frá 8. september 2026
- CVE.org, CVE-2026-39919 og NIST, NVD
- Red Hat, CVE-2026-39919 — mat Moderate (7,8), lagfæringar fyrir RHEL 8, 9 og 10
- Debian, Security Tracker: CVE-2026-39919 — staða pakka eftir útgáfum
- ImageMagick, Security Policy — málskipan
policy.xml - OpenCVE, CVE-2026-65640 — skyldi WordPress-gallinn, lagaður í 7.0.4
- Dr. Web, Ghostscript-Lücke: Präparierte PDFs gefährden WordPress-Server (13.10.2026, á þýsku)
