CVE-2026-39919: RCE via PDF in Ghostscript, il sandbox -dSAFER…

Un heap buffer overflow nel decoder JPEG 2000 di Ghostscript consente esecuzione remota di codice non autenticata attraverso PDF malevoli. Il bug interessa le

Una vulnerabilità critica nel motore di rendering Ghostscript espone a esecuzione remota di codice i server che elaborano PDF non affidabili. Il difetto, identificato come CVE-2026-39919, interessa tutte le versioni dalla 9.21 alla 10.07.1 ed è stato corretto solo il 8 settembre 2026 con il rilascio della versione 10.08.0. La scoperta, effettuata il 23 agosto dai ricercatori di Wordfence durante una verifica di sicurezza su WordPress 7.1, dimostra come una funzione apparentemente innocua come la generazione di miniature PDF possa aprire una breccia eseguibile attraverso catene di librerie invisibili agli amministratori.

Punti chiave

CVE-2026-39919 è un heap buffer overflow nel decoder JPEG 2000 di Ghostscript (file sorgente base/sjpx_openjpeg.c) con punteggio CVSS 3.1 di 9.8 su 10, secondo il record NVD e le fonti tecniche convergenti.
L'esecuzione remota di codice non autenticata è dimostrata in laboratorio: la catena di attacco WordPress → PHP Imagick → ImageMagick → Ghostscript consente di raggiungere il percorso vulnerabile anche con il flag -dSAFER attivo.
L'exploit sviluppato da Wordfence risulta specifico per build: 10.240 esecuzioni su dieci ambienti Linux non hanno prodotto successo al di fuori dell'eseguibile Ghostscript identico, ma ha funzionato su quattro setup condivisi.
La correzione richiede l'aggiornamento a livello sistema operativo o container, non tramite plugin applicativo: le distribuzioni Ubuntu 22.04, 24.04, 26.04, Debian 13 e AlmaLinux 10 hanno già rilasciato patch, mentre Debian 12 risulta ancora vulnerabile.

Il difetto nel decoder JPEG 2000: allocazione errata del buffer riga

Il nucleo tecnico risiede in un errore di gestione della memoria nel modulo base/sjpx_openjpeg.c, responsabile dell'adattamento di output JPEG 2000 in Ghostscript. Quando il decoder elabora un'immagine con fattori di subsampling dei componenti non corrispondenti, il percorso non-samescale sub-byte-depth alloca un buffer riga per output packed ma vi scrive un byte completo per colonna. Questa discrepanza genera un overflow di 1.024 byte in un buffer di 256 byte, secondo i dati tecnici diffusi da Wordfence attraverso BleepingComputer.

L'overflow corrompe i metadati dell'allocatore di chunk, consentendo la manipolazione controllata della memoria e l'esecuzione di codice arbitrario. Il record NVD descrive esplicitamente la vulnerabilità come "heap-based buffer overflow" nel "JPEG 2000 output adapter", confermando la localizzazione e la natura del difetto. Artifex, maintainer di Ghostscript, ha ricevuto la segnalazione il 24 agosto 2026 e rilasciato la patch il 8 settembre successivo.

La catena di attacco WordPress: PDF upload senza autenticazione

Il vettore di attacco documentato sfrutta una catena di librerie comune nell'hosting web. Un file PDF malevolo caricato su un'istanza WordPress con estensione PHP Imagick attiva ImageMagick, che a sua volta invoca Ghostscript per la generazione della miniatura. Questo meccanismo, standard in molte configurazioni di hosting condiviso, rende Ghostscript una dipendenza invisibile: la maggior parte degli amministratori ignora della sua presenza e non monitora i relativi aggiornamenti di sicurezza.

La condizione di attacco richiede la possibilità di caricare PDF, che in WordPress stock non è consentita in forma anonima ma diventa realizzabile attraverso plugin di form, aree riservate o funzionalità di upload personalizzate. La fonte non documenta l'esistenza di exploit in-the-wild al momento della pubblicazione: Wordfence ha dichiarato di non aver rilevato utilizzi attivi del difetto nel periodo di osservazione.

Il fallimento del sandbox -dSAFER e la specificità delle build

Un aspetto tecnicamente rilevante è l'inefficacia del flag -dSAFER, tradizionalmente considerato mitigazione standard in ambienti Ghostscript condivisi. Secondo CyberSecurityNews, che riporta i risultati dei test Wordfence, i ricercatori hanno raggiunto il percorso vulnerabile con il sandbox attivato. La fonte cita esplicitamente: "Do not treat -dSAFER as a fix". Questa constatazione rimuove una linea di difesa consolidata e impone la correzione diretta a livello binario.

L'esploitabilità presenta però un limite significativo: il funzionamento è build-specific. Wordfence ha eseguito 10.240 tentativi su dieci ambienti Linux diversi senza successo al di fuori della build corrispondente, ma ha verificato il funzionamento ripetuto su quattro setup che condividevano l'esatto eseguibile Ghostscript. Come riporta SecurityOnline.info citando Wordfence: "Build-specific exploitation is harder, not harmless". Questa specificità non annulla il rischio, specialmente in ambienti di hosting condiviso o container dove le immagini standardizzate replicano identiche build Ghostscript su migliaia di istanze.

"Build-specific exploitation is harder, not harmless" — Wordfence

Cosa fare adesso

La correzione richiede l'aggiornamento del pacchetto Ghostscript a livello sistema operativo o immagine container, non l'installazione di plugin WordPress. Le distribuzioni Linux hanno adottato tempistiche differenziate: Ubuntu 22.04, 24.04 e 26.04 risultano corrette, Debian 13 è stato patchato mentre Debian 12 mantiene il pacchetto vulnerabile, AlmaLinux 10 ha ricevuto l'aggiornamento il 2 ottobre 2026. Gli operatori di infrastruttura devono verificare la versione Ghostscript effettivamente in esecuzione, indipendentemente dall'aggiornamento del sistema operativo base.

Per gli ambienti WordPress, la valutazione del rischio deve includere la mappatura delle funzionalità di upload PDF e della presenza della catena Imagick/ImageMagick/Ghostscript. La fonte non documenta misure correttive alternative al patching del binario: la sostituzione o la disabilitazione di Ghostscript dove non strettamente necessaria rappresenta opzione valutabile solo nel contesto specifico dell'architettura, non raccomandata in forma generica dal dossier. La consapevolezza della catena di dipendenze che trasforma un PDF in codice eseguibile costituisce il presupposto per una corretta priorizzazione del rischio.

La lezione della supply chain invisibile

CVE-2026-39919 illustra un pattern di rischio sistemico: componenti di sistema operativo, spesso assenti dal perimetro di attenzione degli sviluppatori applicativi, diventano vettori di compromissione attraverso catene di invocazione indirecte. Il PDF come formato documentale apparentemente passivo si rivela contenitore attivo di payload eseguibile quando incontra una pila di decodifica difettosa. La specificità delle build offre una parziale attenuazione del rischio, ma non una garanzia: l'omogeneità delle immagini container e degli hosting condivisi trasforma la "difficoltà" di exploit in probabilità rilevante a scala.

La distanza temporale tra scoperta (23 agosto), correzione upstream (8 settembre) e disponibilità nei repository delle distribuzioni (con varianze documentate tra ottobre e date non ancora definite per Debian 12) evidenzia il problema dello window gap nella gestione delle dipendenze di sistema. La gestione del rischio non può più limitarsi al perimetro applicativo riconosciuto.

Domande frequenti

WordPress stock è vulnerabile senza plugin aggiuntivi?: No. L'installazione base di WordPress non consente l'upload anonimo di PDF. La catena di attacco documentata richiede una configurazione che estenda le capacità di upload, attraverso plugin di form, aree utente o funzionalità personalizzate.
Perché il punteggio CVSS 9.8 non si traduce in exploit universale?: Il punteggio CVSS descrive il caso peggiore teorico secondo la metrica 3.1, non la probabilità effettiva di successo. Come precisa Wordfence citata da SecurityOnline.info: "You should patch it, but the score describes a worst case rather than a guarantee". La specificità delle build limita la portabilità dell'exploit ma non elimina il rischio per configurazioni identiche.
Qual è la differenza tra la patch di Artifex e quella delle distribuzioni Linux?: Artifex ha rilasciato Ghostscript 10.08.0 il 8 settembre 2026. Le singole distribuzioni devono adottare e distribuire il pacchetto nei propri repository: le tempistiche variano, come documentato per Ubuntu (corretto), Debian 13 (corretto), Debian 12 (ancora vulnerabile) e AlmaLinux 10 (corretto il 2 ottobre 2026).

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter