Kritieke Ghostscript-kwetsbaarheid CVE-2026-39919 bedreigt WordPress en hostingservers
Beveiligingsonderzoekers van Wordfence hebben aangetoond dat een kritieke kwetsbaarheid in Ghostscript onder specifieke omstandigheden kan leiden tot het uitvoeren van kwaadaardige code op Linux-servers.
De kwetsbaarheid, geregistreerd als CVE-2026-39919, bevindt zich in de verwerking van speciaal geprepareerde PDF-bestanden met JPEG 2000-afbeeldingen.
Ghostscript wordt door uiteenlopende applicaties gebruikt voor het verwerken, converteren en weergeven van documenten. Daardoor is deze beveiligingsmelding niet alleen relevant voor WordPress, maar ook voor andere websites, documentverwerkingssystemen en hostingomgevingen.
Wat is Ghostscript?
Ghostscript is software waarmee PDF- en PostScript-bestanden kunnen worden verwerkt en geconverteerd.
Veel applicaties gebruiken Ghostscript indirect via andere softwarebibliotheken, zoals ImageMagick.
Ook WordPress kan hiervan gebruikmaken wanneer een PDF-document wordt geüpload en automatisch een voorbeeldafbeelding wordt gegenereerd.
Afhankelijk van de serverconfiguratie verloopt deze verwerking via WordPress, de PHP-extensie Imagick, ImageMagick en uiteindelijk Ghostscript.
Een websitebeheerder hoeft Ghostscript dus niet zelf te hebben geïnstalleerd om er indirect gebruik van te maken.
Hoe werkt CVE-2026-39919?
De kwetsbaarheid betreft een heap-based buffer overflow in de JPEG 2000-verwerking van Ghostscript.
Bij het verwerken van bepaalde afbeeldingsgegevens reserveert de software onvoldoende geheugen voor de hoeveelheid gegevens die daadwerkelijk wordt weggeschreven.
Een speciaal samengesteld PDF-bestand kan daardoor geheugen buiten de toegewezen buffer overschrijven.
Dit kan leiden tot:
- Het onverwacht beëindigen van een Ghostscript-proces.
- Geheugencorruptie tijdens documentverwerking.
- Het uitvoeren van kwaadaardige code onder de rechten van het verwerkingsproces.
- Mogelijke toegang tot bestanden en gegevens die dat proces kan benaderen.
De ernst van de kwetsbaarheid is vastgesteld op CVSS 9.8 (kritiek).
Kan een aanvaller zonder login toegang krijgen?
Onder bepaalde omstandigheden is dat mogelijk.
Wordfence heeft in een gecontroleerde WordPress-testomgeving aangetoond dat een aanvaller zonder authenticatie code kon uitvoeren door een speciaal geprepareerd PDF-bestand te laten verwerken.
Daarvoor moeten verschillende voorwaarden aanwezig zijn:
- De website accepteert PDF-uploads van bezoekers of gebruikers met beperkte rechten.
- De geüploade PDF-bestanden worden automatisch verwerkt tot afbeeldingen of voorbeelden.
- De server gebruikt daarbij een kwetsbare Ghostscript-installatie.
- De documentverwerking is daadwerkelijk bereikbaar via de betreffende uploadfunctionaliteit.
Een standaard WordPress-installatie biedt anonieme bezoekers niet automatisch de mogelijkheid om PDF-bestanden naar de mediabibliotheek te uploaden.
Het risico kan echter ontstaan wanneer aanvullende plugins, formulieren of maatwerkapplicaties deze functionaliteit beschikbaar stellen.
Welke versies zijn kwetsbaar?
- CVE: CVE-2026-39919
- Software: Artifex Ghostscript
- Kwetsbare upstream-versies: 9.21 tot en met 10.07.1
- Beveiligde upstream-versie: 10.08.0
- CVSS 3.1: 9.8 – kritiek
- CVSS 4.0: 9.3 – kritiek
- Kwetsbaarheidstype: heap-based buffer overflow
- Mogelijke impact: remote code execution
Let op: Linux-distributies kunnen beveiligingscorrecties terugporteren naar oudere softwareversies. Een lager Ghostscript-versienummer betekent daarom niet automatisch dat de geïnstalleerde distributieversie nog kwetsbaar is.
Controleer altijd de volledige pakketversie en de beveiligingsadviezen van de gebruikte Linux-distributie.
Bijzonder aandachtspunt voor Debian 12 en Debian 13
Op 13 oktober 2026 meldt de Debian Security Tracker dat de beschikbare Ghostscript-pakketten voor Debian 12 (Bookworm) nog kwetsbaar zijn voor CVE-2026-39919.
Voor Debian 13 (Trixie) is inmiddels een beveiligingscorrectie beschikbaar.
De eerste gecorrigeerde Debian 13-pakketversie is:
10.05.1~dfsg-1+deb13u2Nieuwere pakketversies waarin dezelfde beveiligingscorrectie aanwezig is, zijn eveneens geschikt.
Voor Debian 12 moet de beschikbaarheid van een officiële beveiligingsupdate opnieuw worden gecontroleerd. Totdat een correctie beschikbaar is, zijn aanvullende maatregelen noodzakelijk op systemen die PDF-bestanden van niet-vertrouwde bronnen verwerken.
Hoe controleert u Ghostscript op uw server?
Linux-beheerders kunnen controleren of Ghostscript is geïnstalleerd met:
command -v gsDe gebruikte programmaversie kan worden opgevraagd met:
gs --versionOp Debian en Ubuntu kan de volledige pakketversie worden gecontroleerd met:
dpkg-query -W ghostscriptOmdat distributies beveiligingsupdates kunnen terugporteren, moet deze pakketversie worden vergeleken met het officiële beveiligingsadvies van de betreffende distributie.
Wanneer Ghostscript niet is geïnstalleerd, is de betreffende installatie niet rechtstreeks kwetsbaar via dit softwarepakket. Controleer bij containers en afwijkende installaties ook of andere Ghostscript-versies aanwezig zijn.
Wordt CVE-2026-39919 actief misbruikt?
Er is op dit moment geen publiek bevestigd bewijs dat CVE-2026-39919 actief wordt misbruikt bij aanvallen op productieomgevingen.
Wordfence heeft wel aangetoond dat de kwetsbaarheid onder specifieke omstandigheden kan worden uitgebuit voor het uitvoeren van code.
De onderzoekers ontwikkelden werkende exploits voor een specifieke testomgeving. Die exploits bleken niet zonder aanpassingen te werken op tien andere onderzochte Linux-pakketomgevingen.
Dit betekent dat de kwetsbaarheid niet eenvoudig met één universeel exploitbestand op iedere server kan worden misbruikt.
Gerichte aanvallen op systemen met een bekende softwareconfiguratie blijven echter mogelijk. Het ontbreken van bevestigd actief misbruik is daarom geen reden om beveiligingsupdates uit te stellen.
Hoe controleert u mogelijke compromittering?
Beheerders van systemen die PDF-documenten van externe gebruikers verwerken, wordt geadviseerd de volgende onderdelen te controleren:
- Onverwachte crashes van Ghostscript- of documentconversieprocessen.
- Foutmeldingen bij het verwerken van PDF-bestanden.
- Ongebruikelijke aantallen PDF-uploads of herhaalde conversiepogingen.
- Afwijkende processen die door de webservergebruiker worden gestart.
- Onverwachte wijzigingen in websitebestanden.
- Onbekende uitvoerbare bestanden in tijdelijke uploadmappen.
- Verdachte netwerkverbindingen vanaf processen die documenten verwerken.
Een crash of foutmelding vormt op zichzelf geen bewijs van een aanval. Dergelijke signalen moeten in samenhang met webserverlogs en andere beveiligingsinformatie worden onderzocht.
Welke maatregelen zijn noodzakelijk?
- Controleer of Ghostscript op de server aanwezig is.
- Controleer of websites of applicaties PDF-bestanden automatisch verwerken.
- Installeer de officiële beveiligingsupdate van de Linux-distributie zodra deze beschikbaar is.
- Werk containerimages bij en bouw containers opnieuw wanneer zij een kwetsbare Ghostscript-versie bevatten.
- Schakel waar mogelijk tijdelijke PDF-verwerking van niet-vertrouwde bestanden uit totdat de correctie is geïnstalleerd.
- Overweeg om PDF-verwerking tijdelijk te blokkeren via het beveiligingsbeleid van ImageMagick.
- Beperk de rechten en toegangsmogelijkheden van documentverwerkingsprocessen.
- Controleer logs op afwijkende documentverwerking en mogelijke compromittering.
Het blokkeren van PDF-verwerking kan gevolgen hebben voor het genereren van documentvoorbeelden en andere websitefunctionaliteiten.
Een aanvullende sandbox of beperkte procesrechten kunnen de impact van een aanval verminderen, maar verhelpen de onderliggende kwetsbaarheid niet.
Waarom is dit belangrijk voor hostingproviders?
De kwetsbaarheid bevindt zich niet in WordPress zelf, maar in software die op de onderliggende server aanwezig kan zijn.
Daardoor kunnen meerdere websites op dezelfde server afhankelijk zijn van één kwetsbare softwarecomponent.
Dit onderstreept het belang van regelmatig serveronderhoud, beveiligingsupdates en controle van gebruikte systeemsoftware.
Managed hosting bij Vservs
Een veilige website begint niet alleen bij het bijwerken van WordPress, plugins en thema’s. Ook het besturingssysteem en de onderliggende servercomponenten moeten actief worden onderhouden.
Vservs biedt Managed VPS-hosting waarbij serverbeheer, beveiligingsupdates en monitoring onderdeel kunnen zijn van de beheerde dienstverlening.
Wij adviseren klanten die zelf Linux-servers beheren om regelmatig beveiligingsadviezen van hun distributie te controleren en updates tijdig te installeren.