Специалисты компании Wordfence обнаружили критическую уязвимость CVE-2026-39919 в Ghostscript, позволяющую злоумышленникам выполнять произвольный код на сервере через специально подготовленный PDF-файл. Проблема получила максимальную оценку опасности и затрагивает все версии инструмента с 9.21 по 10.07.1.

Ghostscript — это популярный интерпретатор PostScript и PDF, который используется во множестве приложений для конвертации, печати и обработки документов. Уязвимость возникает из-за ошибки при разборе встроенных шрифтов, что даёт атакующему возможность выйти за пределы песочницы и выполнить команды в системе.

По данным Wordfence, для эксплуатации достаточно загрузить вредоносный PDF на сервер, где установлен уязвимый Ghostscript. Никакой дополнительной аутентификации или взаимодействия с пользователем не требуется, что делает атаку особенно опасной для публичных веб-сервисов.

Предыстория: Ghostscript уже не раз становился источником критических дыр — аналогичные случаи фиксировались в 2018, 2019 и 2023 годах. Разработчики годами пытаются ограничить опасные операции, но архитектура инструмента остаётся сложной для полной изоляции.

Исправление уже выпущено в версии 10.07.2, и администраторам рекомендуется срочно обновить Ghostscript или временно отключить его обработку PDF. В противном случае любой сервер, принимающий документы от пользователей, остаётся открытой дверью для удалённого захвата.