PDF処理ソフト「Ghostscript」の深刻な脆弱性 - 詳細が明らかに

開発元のArtifex Softwareは、現地時間2026年9月8日にリリースした「Ghostscript 10.08.0」でこれら脆弱性を修正。Linuxディストリビューションへのバックポートなども進められている。

「CVE-2026-39919」に関しては、発見者であるWordfenceが現地時間2026年10月12日に技術的な詳細について公表した。

同社は、コンテンツマネジメントシステムが実装されているサイトを用いて脆弱性について検証。「ImageMagick」を用いる機能拡張などによってアップロードしたPDFファイルからサムネイルを作成する際、認証なしにリモートからコードを実行できることを確認した。

ただし、同社が用いた手法では実行環境における「Ghostscript」のビルドに大きく依存しているという。

（Security NEXT - 2026/10/13 ）ツイート