Öryggi
Alvarlegur galli í Ghostscript: PDF-skjöl sem hlaðið er upp geta opnað leið inn á vefþjóninn
Wordfence fann alvarlegan galla í Ghostscript, forritinu sem býr til smámyndir af PDF-skjölum á mörgum vefþjónum. Engin WordPress-viðbót lagar gallann; uppfæra þarf vefþjóninn sjálfan.
Öryggisfyrirtækið Wordfence greindi 12. október frá alvarlegum galla í Ghostscript, forriti sem margir vefþjónar nota til að breyta PDF-skjölum í myndir. Gallinn fær 9,8 af 10 í alvarleikamati (CVE-2026-39919). Með sérútbúnu PDF-skjali tókst Wordfence að keyra eigin kóða á WordPress-prufuvef, án þess að vera skráð inn. Framleiðandinn Artifex lagaði gallann í Ghostscript 10.08.0, sem kom út 8. september.
Hvað er Ghostscript og hvað kemur það WordPress við?
Ghostscript er forrit sem les PDF-skjöl og breytir síðum þeirra í myndir. Það er sett upp á mörgum vefþjónum án þess að eigendur vefjanna viti af því. Þegar PDF-skjali er hlaðið inn í myndasafn WordPress býr kerfið til smámynd af fyrstu síðunni, og á mörgum vefþjónum er það Ghostscript sem vinnur verkið, í gegnum myndvinnsluforritið ImageMagick.
Gallinn er því ekki í WordPress sjálfu né í neinni viðbót. WordPress er bara leiðin sem skjalið fer inn. Sami galli getur haft áhrif á öll kerfi sem vinna PDF-skjöl frá ókunnugum, til dæmis skjalakerfi, reikningakerfi og póstþjóna.
Er minn vefur í hættu?
Samkvæmt Wordfence er aðeins hægt að nýta gallann ef allt þetta á við í einu:
- gestir, eða notendur með takmörkuð réttindi, geta hlaðið upp PDF-skjali, til dæmis í gegnum umsóknar- eða fyrirspurnarform,
- vefurinn býr til smámynd eða forskoðun af skjalinu,
- vefþjónninn notar Ghostscript til þess,
- og Ghostscript á vefþjóninum hefur ekki verið uppfært.
Venjuleg WordPress-uppsetning leyfir ekki óinnskráðum gestum að hlaða skjölum inn í myndasafnið. Form sem vistar skjalið bara á disk, án þess að búa til mynd af því, opnar heldur ekki leiðina. Wordfence segist ekki hafa séð merki um að gallinn sé nýttur í árásum, og árásarkóðinn sem fyrirtækið smíðaði virkaði aðeins á nákvæmlega þeirri útgáfu sem hann var gerður fyrir. Wordfence mælir samt eindregið með uppfærslu, sérstaklega fyrir vefi sem taka við skjölum frá almenningi og fyrir hýsingaraðila með marga vefi á sömu uppsetningu.
Engin viðbót að uppfæra
Það óvenjulega við þennan galla er að það er ekkert að uppfæra í stjórnborði WordPress. Ghostscript er hluti af stýrikerfi vefþjónsins, svo lagfæringin kemur frá hýsingaraðilanum. Linux-dreifingar setja lagfæringuna oft inn í eldri útgáfur, svo útgáfunúmerið eitt segir ekki alla söguna.
Hvað áttu að gera?
- Athugaðu hvort gestir geti hlaðið upp PDF-skjölum á vefinn þinn, til dæmis í gegnum form.
- Ef svo er, spurðu hýsingaraðilann hvort Ghostscript á vefþjóninum hafi verið uppfært vegna CVE-2026-39919.
- Ef ekki er hægt að uppfæra strax: hættu tímabundið að taka við PDF-skjölum frá gestum, eða láttu loka fyrir PDF-vinnslu í ImageMagick. Þá hætta forskoðanir af PDF-skjölum að virka.
- Takmarkaðu fjölda skráa í hverju formi. Það minnkar tækifæri árásaraðila en lagar ekki gallann.
ÁbendingErtu með þinn eigin vefþjón eða Docker-uppsetningu? Uppfærðu Ghostscript-pakkann í stýrikerfinu og byggðu gáma upp á nýtt frá uppfærðri grunnmynd. Wordfence segir að stillingin -dSAFER verji ekki gegn gallanum.
Varðar marga íslenska vefi
Samkvæmt Wisdom keyra 41,7% íslenskra vefja sem Wisdom hefur mælt og svara á WordPress. Hversu margir þeirra taka við PDF-skjölum frá gestum er ekki hægt að sjá utan frá, en form með viðhengjum eru algeng, til dæmis í atvinnuumsóknum og fyrirspurnum. Lestu líka um öryggisuppfærsluna WordPress 7.1.3 og vikuskýrslu Wordfence um veikleika.
