Vulnerabilidad crítica en Ghostscript permite ejecutar código mediante PDF manipulado

Una vulnerabilidad crítica en Ghostscript puede convertir el procesamiento de un PDF manipulado en un problema de seguridad para los servidores que utilizan este componente. Artifex publicó Ghostscript 10.08.0 el 8 de septiembre de 2026 para corregir el fallo, identificado como CVE-2026-39919.

El problema fue descubierto y comunicado por el equipo de Wordfence Threat Intelligence mediante Wordfence Argus. Según la información disponible, la vulnerabilidad recibió una puntuación CVSS de 9,8 sobre 10 y llegó a desarrollarse hasta conseguir ejecución remota de código sin autenticación en un sitio de pruebas de WordPress diseñado para la investigación.

Qué es Ghostscript y por qué importa en un servidor

Ghostscript es el programa que permite procesar determinados documentos, entre ellos archivos PDF. En un entorno web, puede intervenir en tareas como la generación de miniaturas a partir de documentos subidos por los usuarios.

Ese flujo es especialmente relevante para plataformas que aceptan archivos desde formularios, gestores de contenidos o aplicaciones internas. El usuario puede limitarse a cargar un PDF, pero el servidor puede realizar después operaciones adicionales para interpretar su contenido, generar una vista previa o preparar una imagen derivada.

La exposición no depende únicamente de que una aplicación permita visualizar un PDF directamente. También puede producirse cuando una herramienta del servidor procesa el archivo de forma automática. Por eso, la presencia de Ghostscript en la cadena de tratamiento de documentos merece atención aunque el componente no sea visible para quien utiliza la aplicación.

El fallo afecta al procesamiento de imágenes JPEG 2000

La vulnerabilidad consiste en un desbordamiento de búfer en el montón, conocido como heap buffer overflow. Un PDF creado de forma maliciosa y que contenga una imagen JPEG 2000 puede hacer que Ghostscript escriba, más allá del final de un búfer de memoria, bytes controlados por el atacante.

Este tipo de corrupción de memoria puede tener consecuencias graves. En la investigación descrita por Wordfence, el equipo logró convertir el fallo en ejecución remota de código no autenticada en un sitio de pruebas de WordPress construido específicamente para comprobar el impacto.

La expresión “sin autenticación” es importante: el escenario demostrado no requería que el atacante dispusiera de una cuenta válida en el sitio de pruebas. Aun así, la información publicada no equivale a afirmar que todos los sitios WordPress estén expuestos de la misma manera. El riesgo depende de cómo se cargan y procesan los documentos, de la configuración del servidor y de las versiones instaladas.

Ghostscript 10.08.0 corrige la vulnerabilidad

Artifex lanzó Ghostscript 10.08.0 el 8 de septiembre de 2026 para cerrar el problema. La vulnerabilidad había sido descubierta y comunicada dieciséis días antes por el equipo de inteligencia de amenazas de Wordfence.

El identificador asignado es CVE-2026-39919 y su puntuación CVSS es de 9,8 sobre 10. Esa valoración sitúa el fallo en la categoría de máxima gravedad dentro de la escala utilizada para comunicar el impacto potencial de una vulnerabilidad.

Con los datos disponibles no se detalla en este caso la lista completa de versiones afectadas ni se aporta información sobre ataques observados contra sistemas reales. Tampoco se debe interpretar la demostración realizada en un entorno de pruebas como una confirmación de explotación generalizada. Lo que sí queda acreditado en la información publicada es la existencia del fallo, su corrección en Ghostscript 10.08.0 y la posibilidad de alcanzar ejecución remota de código en el escenario investigado.

Qué deberían revisar los responsables técnicos

La prioridad es localizar los sistemas que incluyen Ghostscript y comprobar qué versión está instalada. No basta con revisar las extensiones visibles de una aplicación: el componente puede formar parte de una dependencia del sistema, de un servicio de generación de miniaturas o de un flujo de conversión de documentos.

• Actualizar Ghostscript: instalar Ghostscript 10.08.0 en los entornos donde se utilice, siguiendo el procedimiento de actualización correspondiente.
• Inventariar dependencias: comprobar servidores, contenedores, procesos de conversión y aplicaciones que procesen archivos PDF o imágenes derivadas.
• Revisar las subidas de archivos: identificar qué usuarios pueden cargar documentos y qué tareas automáticas se ejecutan después de la carga.
• Reducir la exposición: aplicar controles de acceso y aislamiento adecuados para los procesos que manipulan archivos proporcionados por terceros.
• Supervisar el entorno: revisar registros y alertas relacionados con cargas de documentos y procesos anómalos, sin asumir que la ausencia de indicios elimina la necesidad de actualizar.

Estas medidas no sustituyen a la actualización. La corrección publicada por Artifex es el punto principal para reducir el riesgo asociado a esta vulnerabilidad.

Qué significa para usuarios y profesionales

Para los usuarios, el riesgo no implica que cualquier PDF descargado o cargado en cualquier sitio vaya a comprometer automáticamente un dispositivo o una cuenta. La amenaza se concentra en los servidores que procesan esos documentos mediante una versión vulnerable de Ghostscript. Aun así, conviene utilizar servicios y aplicaciones mantenidos y evitar cargar archivos de origen desconocido en plataformas que no ofrezcan garantías de actualización.

Para administradores y desarrolladores, CVE-2026-39919 recuerda que una función aparentemente secundaria, como crear una miniatura, puede activar software con capacidad para interpretar formatos complejos. La revisión debe abarcar toda la cadena de procesamiento y no solo el código de la aplicación principal.

La recomendación más concreta es verificar la presencia de Ghostscript, actualizar a la versión 10.08.0 y revisar cómo se gestionan los PDF subidos al servidor. Con la información disponible, no hay base para afirmar una campaña de explotación activa, pero la gravedad del fallo y la demostración de ejecución remota de código justifican tratar la actualización como una tarea prioritaria.

---

Fuente: Wordfence Blog.