Se ha detectado una vulnerabilidad crítica en Ghostscript (CVE-2026-39919) con una puntuación de severidad de 9.8 sobre 10. Este fallo, que afecta a versiones anteriores a la 10.08.0, permite a los atacantes ejecutar código en servidores vulnerables mediante el uso de archivos PDF manipulados. Ghostscript es una herramienta ampliamente utilizada para renderizar PDFs y convertir archivos PostScript.

Una vulnerabilidad crítica en Ghostscript podría permitir que los atacantes utilicen archivos PDF especialmente diseñados para ejecutar código en servidores vulnerables.

El fallo, rastreado como CVE-2026-39919, afecta a las versiones de Ghostscript anteriores a la 10.08.0 y tiene una puntuación de severidad CVSS de 9.8 sobre 10. Ghostscript se utiliza ampliamente para renderizar PDFs, crear miniaturas de documentos y convertir archivos PostScript en imágenes.

El problema es especialmente importante para los sitios web y servicios que aceptan la carga de PDFs. Los sitios de WordPress, los portales de documentos, los servicios de impresión, las pasarelas de correo electrónico, las plataformas de facturación y las API de conversión de archivos pueden llamar a Ghostscript en segundo plano cuando procesan archivos proporcionados por el usuario.

Por lo tanto, un PDF malicioso puede llegar al componente vulnerable incluso cuando la aplicación principal no tenga código directo de Ghostscript.

Investigadores de Wordfence identificaron la vulnerabilidad durante una evaluación de seguridad de WordPress 7.1 utilizando su sistema de pruebas Argus.

Esto no es una campaña de malware, y los investigadores no han reportado una explotación activa en el mundo real. En cambio, el hallazgo muestra cómo un PDF manipulado puede provocar una corrupción de memoria y, en ciertas configuraciones de servidor, conducir a la ejecución remota de código no autenticada.

Wordfence informó del fallo a Artifex el 23 de agosto, y el proveedor lo confirmó al día siguiente antes de lanzar la corrección el 8 de septiembre.

Fallo Crítico de Ghostscript

El CVE-2026-39919 es un desbordamiento de búfer basado en el montículo (heap-based buffer overflow) en la ruta de decodificación de imágenes JPEG 2000 de Ghostscript. El problema ocurre cuando Ghostscript procesa un PDF que contiene una imagen JPEG 2000 con configuraciones de resolución de componentes inusuales y valores de muestra de sub-byte.

En términos sencillos, el programa reserva muy poca memoria para los datos de la imagen y luego escribe más datos de los que el búfer asignado puede contener.

Esos datos adicionales pueden sobrescribir la memoria cercana utilizada por Ghostscript. En un entorno de prueba controlado de WordPress, los investigadores de Wordfence demostraron que esta corrupción de memoria podría convertirse en una ejecución remota de código.

El código se ejecutaría con los permisos asignados a la cuenta que procesa el PDF, como un servidor web o un usuario de PHP-FPM, en lugar de obtener automáticamente acceso de root.

El registro público de vulnerabilidades de la NVD enumera el problema como un desbordamiento de búfer basado en el montículo y señala que el contenido de JPEG 2000 manipulado dentro de un PDF puede corromper la memoria.

El riesgo comienza cuando una aplicación acepta un PDF e intenta crear una vista previa o miniatura. En muchas configuraciones de WordPress, la cadena es WordPress, Imagick, ImageMagick y luego Ghostscript. El sitio puede parecer que está procesando una carga de documento normal, pero Ghostscript es la herramienta de nivel inferior que lee el archivo.

Es por esto que el problema difiere del fallo anterior de ejecución de código de WordPress Imagick, donde la validación de carga de WordPress podía ser evadida con contenido disfrazado de imagen. En este caso, el error de memoria reside dentro de Ghostscript.

Versiones Afectadas y Riesgo en el Mundo Real

El código vulnerable fue introducido en Ghostscript 9.21 y afecta a las versiones posteriores hasta la 10.07.1. Artifex solucionó el problema en Ghostscript 10.08.0, y su página oficial de CVE de Ghostscript confirma que el CVE-2026-39919 fue abordado en esa versión.

Sin embargo, los proveedores de Linux pueden aplicar la corrección (backport) a una versión de paquete que parezca más antigua, lo que significa que ejecutar gs --version por sí solo puede no probar si un servidor es seguro.

Wordfence probó diez entornos de paquetes, incluyendo Debian, Ubuntu, Fedora, AlmaLinux, Alpine Linux y una imagen oficial de Docker de WordPress. Los investigadores encontraron compilaciones vulnerables en esos entornos durante sus pruebas del 15 de septiembre.

Sus archivos de prueba de concepto no funcionaron sin cambios en todos los sistemas, lo que significa que no hay evidencia de un único PDF universal que comprometa a todos los servidores. Aun así, un exploit específico de una compilación siguió funcionando en sistemas que compartían el mismo ejecutable de Ghostscript.

Ese resultado es importante para los proveedores de hosting y las empresas que despliegan muchos servidores a partir de una sola imagen de contenedor. Un actor de amenazas puede no necesitar un PDF que funcione en todas partes si varios objetivos utilizan la misma compilación vulnerable.

La preocupación es similar a la reciente investigación sobre imágenes HEIC maliciosas, que mostró cómo las librerías nativas de procesamiento de medios pueden exponer los servidores de WordPress cuando los archivos cargados llegan a decodificadores vulnerables.

Deberías instalar el paquete de Ghostscript corregido proporcionado por el proveedor de tu sistema operativo o proveedor de hosting. Los equipos que utilicen contenedores deberían reconstruir las imágenes a partir de una imagen base actualizada y volver a desplegarlas, en lugar de simplemente reiniciar un contenedor existente.

Si eres cliente de WordPress gestionado, deberías preguntar a tu proveedor de hosting si su paquete de Ghostscript incluye la corrección del CVE-2026-39919 y si los PDFs cargados se convierten en vistas previas.

En los casos donde no se puedan instalar actualizaciones inmediatamente, los administradores deberían evitar que usuarios no confiables carguen PDFs o desactivar el procesamiento de PDF a través de la configuración de políticas de ImageMagick.

Los límites de tasa (rate limits) y los límites de carga pueden reducir los intentos repetidos de procesamiento, pero no eliminan el fallo subyacente. El modo -dSAFER de Ghostscript tampoco debe considerarse una solución, ya que Wordfence alcanzó la ruta vulnerable mientras esa configuración de sandbox estaba activada.

El incidente también suma evidencia de que los servicios de conversión de documentos e imágenes necesitan una revisión exhaustiva. Una cadena de pipeline de imágenes de Discourse mostró recientemente cómo Ghostscript e ImageMagick pueden formar parte de una ruta de riesgo de procesamiento de archivos más amplia.

Mientras tanto, la investigación de exploits de decodificadores asistida por Claude demostró cómo los fallos en las librerías de medios pueden adaptarse para entornos de servicio reales.