Wordfence Argus, Sunucunuzda Yüklenen PDF'leri Küçük Resme Dönüştüren Program Ghostscript'te Kritik Bir Güvenlik Açığı Keşfetti
8 Eylül 2026'da Artifex, Wordfence Threat Intelligence ekibinin Wordfence Argus ile on altı gün önce keşfedip bildirdiği kritik bir yığın tamponu taşmasını kapatan Ghostscript 10.08.0 sürümünü yayınladı. Açık CVE-2026-39919 olarak izleniyor ve 10 üzerinden 9,8 CVSS puanı taşıyor. JPEG 2000 görüntüsü içeren özel hazırlanmış bir PDF, bir bellek tamponunun ötesine bayt yazılmasına yol açabiliyor.
8 Eylül 2026'da Artifex, Wordfence Threat Intelligence ekibinin Wordfence Argus ile on altı gün önce keşfedip bildirdiği kritik bir yığın tamponu taşmasını kapatan Ghostscript 10.08.0 sürümünü yayınladı. Açık CVE-2026-39919 olarak izleniyor ve 10 üzerinden 9,8 CVSS puanı taşıyor. JPEG 2000 görüntüsü içeren özel hazırlanmış bir PDF, Ghostscript'in bir bellek tamponunun sonunun ötesine saldırganın etkileyebildiği baytlar yazmasına yol açabiliyor. Bu bellek bozulmasını, özel olarak hazırlanmış bir WordPress test sitesinde kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırmaya dönüştürdük.
Bir WordPress sitesi işletiyorsanız, güncelleyebileceğiniz bir WordPress eklentisi yok. Ghostscript işletim sistemi ya da konteyner imajı tarafından sağlanır; bu nedenle site sahiplerinin çoğu düzeltmeyi dağıtımları veya barındırma sağlayıcıları aracılığıyla alacaktır. Konteynerli sitelerin güncel bir temel imajdan yeniden oluşturulup yeniden dağıtılması gerekir. 15 Eylül'de on Linux paket ortamını test ettik ve test ettiğimiz resmî WordPress Docker imajı anlık görüntüsü, savunmasız olanlardan biriydi.