Ghostscript 10.08.0: критическая уязвимость в обработке PDF

Пришло уведомление об обновлении Ghostscript — вышла версия 10.08.0 с исправлением критической уязвимости типа heap buffer overflow (CVE-2026-39919, CVSS 9.8). Она позволяет при помощи специально crafted PDF с JPEG 2000-изображением вызвать удалённое выполнение кода, если сервер использует уязвимую сборку. Проблема не в WordPress, а в системной библиотеке, которая нужна для преобразования PDF в миниатюры. Многие сайты, особенно на Linux-серверах или в контейнерах, могут быть уязвимы, если не обновили Ghostscript. Уязвимость критическая, но не универсальная — эксплойт работает только на конкрет

Считаю, что это серьёзно — не потому что уязвимость «работает везде», а потому что она в системной библиотеке, которую не видно. Многие хостинги и системы управления обновляют только основные компоненты, а Ghostscript — в фоне. Если у клиента есть форма загрузки PDF, даже если она не включена по умолчанию, — это потенциальный вход. И да, даже если WordPress сам по себе не позволяет загружать, контейнер может быть уязвим. Это не про плагин, это про инфраструктуру.

На мой взгляд, главная угроза — не в том, что кто-то скинет вредоносный PDF, а в том, что уязвимость может быть использована в рамках целевой атаки на сервер, который делает то же самое, что и другие. Если хостинг или образ Docker используют одну и ту же сборку — угроза растёт. Атакующий не обязан иметь универсальный эксплойт — достаточно найти один сервер с нужной версией. Это не «все под ударом», но и не «не страшно».

У себя уже проверил, какие у клиентов используются образы Docker и версии Ghostscript. У тех, кто использует официальный WordPress Docker — есть риск. Уже начал обновлять системные пакеты на тестовых серверах и поставил в план на неделю — проверить всех, кто на Linux-серверах с возможной загрузкой PDF. Если у кого-то есть форма загрузки — обновление в приоритете. У кого нет — всё равно проверяю: если в системе есть Ghostscript — он может быть задействован где-то в фоне.