نقص Ghostscript به هکرها اجازه می دهد تا سرورها را از طریق بارگذاری PDF ربوده کنند

یک آسیب‌پذیری بحرانی سرریز بافر پشته (CVE-2026-39919) در مفسر و موتور رندر Ghostscript می‌تواند امکان اجرای کد از راه دور را از طریق فایل‌های PDF ساخته‌شده خاص فراهم کند.

این نقص در 23 آگوست توسط محققان پلتفرم Defiant Wordfence با استفاده از سیستم مبتنی بر هوش مصنوعی Argus کشف شد.

Ghostscript یک مفسر PostScript و PDF است که می‌تواند PDFها را به‌عنوان تصویر ارائه کند، تصاویر کوچک را برای پیش‌نمایش تولید کند، و فایل‌های PDF را با فشرده‌سازی تصاویر تعبیه‌شده و حذف داده‌های فونت غیرضروری بهینه‌سازی کند.

هنگام ایجاد یک تصویر کوچک PDF، وردپرس می تواند از پسوند PHP Imagick برای فراخوانی ImageMagick استفاده کند که Ghostscript را راه اندازی می کند.

یک فایل PDF ساخته شده مخصوص که حاوی یک تصویر JPEG 2000 است می‌تواند باعث مدیریت نادرست نمونه‌های با عمق بیت کم و وضوح ناهمخوانی اجزا شود.

با استفاده از Argus، محققان دو اکسپلویت برای CVE-2026-39919 ایجاد کردند که Ghostscript را مجبور می‌کند تا 1024 بایت را در یک بافر 256 بایتی بنویسد، حافظه اطراف را خراب کرده و منجر به اجرای کد از راه دور غیرقابل تأیید در استقرار وردپرس می‌شود.

Wordfence بر روی سیستم‌های وردپرس متمرکز شده است، اما خاطرنشان می‌کند که این نقص بر روی هر سیستم آنلاینی که Ghostscript 9.21 تا 10.07.1 را اجرا می‌کند، تأثیر می‌گذارد و در صورتی که بار بار با محیط تنظیم شود، قابل بهره‌برداری است.

محققان ده محیط لینوکس از جمله Debian، Ubuntu، Fedora، Alpine و AlmaLinux و همچنین یک عکس فوری از تصویر داکر وردپرس را آزمایش کردند و دریافتند که همگی حاوی کد آسیب‌پذیر هستند.

محققان دو اکسپلویت اثبات مفهوم (PoC) را آزمایش کردند و دریافتند که توانایی آنها برای ایجاد آسیب پذیری به محیط هدف بستگی دارد.

در یک بستر آزمایشی، آنها 10240 بار اکسپلویت ها را در برابر بسته های لینوکس اجرا کردند اما نتوانستند به اجرای کد از راه دور دست یابند. با این حال، آنها با موفقیت کد را از راه دور بر روی یک سرور آزمایشی ساخته شده اجرا کردند.

محققان دریافتند که اصلاح فونت‌های PDF، تنظیمات زبان، پیکربندی فونت و یک کتابخانه سیستم هسته‌ای، این اکسپلویت را قادر به موفقیت می‌کند، اگرچه قابل اعتماد نیست.

به طور خاص در محیط های وردپرس، بهره برداری موفق چهار پیش نیاز دارد:

Wordfence اشاره کرد که وردپرس سهام اجازه آپلود کتابخانه رسانه ای ناشناس را نمی دهد.

به طور کلی، هر برنامه‌ای که فایل‌های PDF ارائه‌شده توسط مهاجم را از طریق کد Ghostscript آسیب‌دیده ارائه می‌کند، ممکن است این نقص را آشکار کند، و الزامات احراز هویت برای بهره‌برداری به برنامه بستگی دارد.

Artifex، نگهدارنده Ghostscript، در 8 سپتامبر، در نسخه 10.08.0 مفسر، اصلاحی را ارائه کرد.

رفع‌ها نیز به نسخه‌های قدیمی‌تر گزارش شده‌اند، بنابراین کاربران باید جزئیات ویرایش را برای وضعیت وصله بررسی کنند.

مدیران وردپرس باید از طریق ارائه دهنده هاست خود اطمینان حاصل کنند که Ghostscript به نسخه 10.08.0 یا بالاتر ارتقا یافته است.

اگر از Docker استفاده می‌کنید، توصیه می‌شود با یک تصویر پایه به‌روز شده و اصلاح‌شده، دوباره بسازید و مجددا مستقر کنید.

اگر نمی‌توانید به نسخه ثابت Ghostscript ارتقا دهید، توصیه می‌شود بارگذاری‌های PDF را در سرور مسدود کنید یا رندر PDF را در ImageMagick غیرفعال کنید.

Wordfence گفت که هنوز هیچ گونه بهره برداری درونی از CVE-2026-39919 ندیده است.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

هکرها شروع به سوء استفاده از نقص مهم وردپرس برای اجرای کد می کنند

نقص Critical Elementor Pro برای تصاحب سایت های وردپرس مورد سوء استفاده قرار گرفت

نقص افزونه پشتیبان وردپرس میلیون ها سایت را در معرض حملات تصاحب قرار می دهد

نقص مهم پوسته وردپرس Avada، RCE صفر کلیک را فعال می کند

باگ Critical Elementor Pro سایت های وردپرس را در معرض حملات RCE قرار می دهد