Vulnerabilidad en Ghostscript: riesgo con PDF en WordPress

Vulnerabilidad en Ghostscript: la falla CVE-2026-39919 permite que un PDF manipulado ejecute código en el servidor que lo procesa. Además, afecta a WordPress cuando el sitio genera miniaturas de los PDF que suben sus usuarios. Por eso, aunque todavía no se ha visto explotación activa, conviene actualizar cuanto antes.

Qué es la vulnerabilidad en Ghostscript

Ghostscript es el motor que muchos servidores usan para leer y dibujar archivos PDF. En concreto, la falla es un desbordamiento de búfer que se activa con una imagen JPEG 2000 escondida dentro del PDF. De hecho, en las pruebas el archivo logra escribir 1.024 bytes en un espacio reservado para solo 256.

La descubrió el 23 de agosto Argus, el sistema con IA de Wordfence, mientras revisaba WordPress 7.1. Por su parte, Artifex, la empresa detrás de Ghostscript, confirmó el reporte al día siguiente. Así, la corrección llegó el 8 de septiembre con la versión 10.08.0.

Cómo afecta a los sitios WordPress

Cuando subes un PDF, WordPress puede crear su miniatura con la extensión Imagick de PHP. A su vez, Imagick llama a ImageMagick, que usa Ghostscript para leer el archivo. En consecuencia, un PDF malicioso puede llegar hasta el código vulnerable sin que nadie lo abra.

No obstante, el ataque necesita que alguien pueda subir archivos, ya sea de forma anónima o con una cuenta de bajo nivel. Por defecto, WordPress no permite subidas anónimas, pero muchos formularios y plugins sí las aceptan. Asimismo, Wordfence encontró el código vulnerable en Debian, Ubuntu, Fedora, Alpine, AlmaLinux y en la imagen oficial de WordPress para Docker.

Cómo protegerte de la vulnerabilidad en Ghostscript

En la práctica, la defensa es sencilla si actúas pronto. Puedes ver más artículos sobre WordPress y seguridad en nuestro blog.

• Actualizar Ghostscript: instala la versión 10.08.0 o posterior, o el paquete parcheado de tu distribución.
• Revisar el paquete: algunas distribuciones aplicaron el arreglo en versiones antiguas, así que revisa la revisión del paquete y no solo el número de versión.
• Reconstruir contenedores: si usas Docker, vuelve a generar la imagen con una base actualizada.
• Plan B: si aún no puedes actualizar, bloquea las subidas de PDF o desactiva el procesamiento de PDF en ImageMagick.

Finalmente, si administras sitios en un hosting compartido, consulta a tu proveedor si ya parchó el servidor. Mientras tanto, la vulnerabilidad en Ghostscript es un buen motivo para revisar quién puede subir archivos a tu sitio.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Puedes encontrarnos en Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: BleepingComputer, SC World, Wiz.