Un PDF caricato sul sito può compromettere il server: falla critica in Ghostscript

Un documento PDF apparentemente innocuo può trasformarsi in uno strumento per compromettere un server Web, anche senza contenere JavaScript, macro o altri elementi eseguibili facilmente riconoscibili. È quanto emerge dall’analisi di una vulnerabilità critica di Ghostscript, il software open source utilizzato da numerose applicazioni per leggere, elaborare e convertire documenti PDF e PostScript. Il problema, identificato come CVE-2026-39919, può consentire l’esecuzione di codice arbitrario sul server semplicemente attraverso l’elaborazione di un file PDF opportunamente preparato.

Ghostscript accompagna da decenni lo sviluppo degli strumenti di elaborazione documentale: nato come interprete del linguaggio PostScript, ha progressivamente assunto un ruolo importante anche nella gestione dei file PDF. La sua presenza è particolarmente diffusa sui server Linux, dove programmi e librerie lo utilizzano per produrre anteprime, convertire documenti in immagini e preparare file destinati alla stampa. Spesso, però, lavora dietro le quinte: chi gestisce un sito web potrebbe non sapere nemmeno che il proprio server lo utilizza.

La vulnerabilità interessa il codice presente nelle versioni di Ghostscript dalla 9.21 alla 10.07.1, quando risulta disponibile il percorso di elaborazione JPEG 2000 coinvolto. I ricercatori di Wordfence, attraverso il sistema di analisi assistito dall’intelligenza artificiale Argus, hanno dimostrato che un PDF malevolo può provocare una corruzione della memoria e, in determinate condizioni, permettere l’esecuzione di comandi sul sistema remoto.

Perché una semplice anteprima PDF può diventare pericolosa

Per comprendere la gravità della scoperta bisogna osservare cosa succede quando un’applicazione web riceve un PDF. Il caricamento del documento rappresenta soltanto la prima operazione: molti servizi analizzano automaticamente il contenuto, estraggono informazioni, generano miniature oppure convertono le pagine in immagini per mostrarle nell’interfaccia.

Prendiamo WordPress: a partire dalla versione 4.7, il CMS dispone di una funzionalità che consente di generare un’anteprima della prima pagina di un PDF caricato nella libreria dei media. Il risultato è un’immagine che WordPress può utilizzare come miniatura del documento.

Quando il server dispone dei componenti necessari e la configurazione ne permette l’utilizzo, WordPress si affida all’estensione Imagick, che comunica con ImageMagick. Per interpretare il PDF, ImageMagick può a sua volta avviare Ghostscript come processo esterno.

La sequenza è quindi WordPress ⇒ Imagick ⇒ ImageMagick ⇒ Ghostscript. Una richiesta apparentemente banale, come creare l’anteprima di un documento appena ricevuto, può portare all’esecuzione di codice nativo scritto in C all’interno di un componente di sistema.

La documentazione ufficiale di WordPress relativa a pdf_load_source() conferma il meccanismo: l’editor Imagick carica l’immagine prodotta da Ghostscript e tenta, se necessario, una seconda elaborazione con parametri differenti. Non tutti i siti WordPress, quindi, sono automaticamente esposti; il percorso vulnerabile deve essere effettivamente raggiungibile.

La particolarità della vulnerabilità riguarda il contenuto del PDF: l’attaccante non deve inserire uno script o sfruttare una funzionalità di esecuzione normalmente associata ai documenti attivi. Può invece preparare un PDF contenente un’immagine JPEG 2000 con caratteristiche specifiche, capaci di provocare un errore durante la decodifica.

Come verificare se Ghostscript contiene ancora la vulnerabilità

Artifex ha corretto CVE-2026-39919 nella release Ghostscript 10.08.0. La correzione, pubblicata l’8 settembre 2026, interviene sul ciclo che gestisce gli elementi JPEG 2000, correggendone il comportamento e introducendo controlli addizionali.

Gli amministratori possono verificare se Ghostscript risulti installato, interrogandone la versione tramite il comando gs --version. Il risultato, tuttavia, non permette sempre di stabilire se il sistema sia protetto.

Le distribuzioni Linux, infatti, mantengono spesso una determinata versione del software e vi applicano le correzioni di sicurezza senza sostituirla con l’ultima release upstream. Un sistema Ubuntu 22.04, ad esempio, può continuare a mostrare Ghostscript 9.55.0 pur avendo ricevuto il pacchetto corretto.

Su Debian e Ubuntu si può utilizzare dpkg -s ghostscript oppure apt policy ghostscript, mentre sui sistemi Fedora, Red Hat e derivati il comando rpm -q ghostscript consente di identificare il pacchetto presente. La revisione ottenuta deve essere confrontata con gli avvisi di sicurezza della distribuzione.

Il Debian Security Tracker e il database di sicurezza Ubuntu permettono di verificare lo stato delle correzioni nei rispettivi pacchetti.

La soluzione principale consiste comunque nell’aggiornare Ghostscript attraverso i pacchetti del sistema operativo o mediante una release che includa la correzione. Aggiornare WordPress, i plugin o i temi non risolve direttamente il difetto, poiché il componente vulnerabile opera a un livello software differente.

Chi utilizza un hosting gestito dovrebbe chiedere al provider se il pacchetto Ghostscript installato include la correzione per CVE-2026-39919 e se i PDF caricati dagli utenti raggiungono il motore di conversione. L’eventuale impossibilità di accedere alla shell del server non deve impedire tale verifica.