In questo articolo Indice dei contenuti 2 sezioni
Basta un PDF malevolo caricato su un sito per mettere a rischio un intero server Web, anche quando il documento non contiene JavaScript, macro o altri elementi eseguibili facili da individuare. Il problema nasce da una vulnerabilità critica di Ghostscript, il software open source che tantissime applicazioni usano per leggere, elaborare e convertire file PDF e PostScript. La falla permette l’esecuzione di codice arbitrario sulla macchina remota semplicemente attraverso l’elaborazione di un file costruito ad arte.
Nato decenni fa come interprete del linguaggio PostScript, Ghostscript ha poi conquistato un ruolo di primo piano anche nella gestione dei PDF. È diffusissimo soprattutto sui server Linux, dove programmi e librerie lo sfruttano per creare anteprime, trasformare documenti in immagini e preparare file per la stampa. Molto spesso però lavora dietro le quinte, tanto che chi amministra un sito potrebbe ignorare del tutto la sua presenza.
Il difetto riguarda il codice delle versioni comprese tra la 9.21 e la 10.07.1, nei casi in cui sia disponibile il percorso di elaborazione JPEG 2000 coinvolto. I ricercatori di Wordfence, con l’aiuto di Argus, un sistema di analisi assistito dall’intelligenza artificiale, hanno dimostrato che un documento confezionato in modo mirato può corrompere la memoria e, in certe condizioni, consentire di lanciare comandi sul sistema colpito.
Dalla miniatura di WordPress al codice nativo sul server
Per capire la portata della scoperta conviene guardare a cosa accade quando un’applicazione online riceve un PDF. Il caricamento è soltanto il primo passo. Molti servizi analizzano in automatico il contenuto, ne estraggono informazioni, generano miniature o convertono le pagine in immagini da mostrare nell’interfaccia, e proprio qui si apre la strada al PDF malevolo.
Il caso di WordPress è emblematico. Dalla versione 4.7 il CMS è in grado di produrre un’anteprima della prima pagina di un PDF caricato nella libreria dei media, un’immagine che poi diventa la miniatura del documento. Quando il server dispone dei componenti necessari e la configurazione lo consente, WordPress si appoggia all’estensione Imagick, che dialoga con ImageMagick. Quest’ultimo, per interpretare il PDF, può avviare a sua volta Ghostscript come processo esterno.
La catena parte quindi da WordPress, passa per Imagick e ImageMagick e arriva infine a Ghostscript. Un’operazione all’apparenza banale come mostrare l’anteprima di un file appena ricevuto può così portare all’esecuzione di codice nativo scritto in C dentro un componente di sistema. La documentazione ufficiale di WordPress dedicata a pdfloadsource() conferma il meccanismo, spiegando che l’editor Imagick carica l’immagine generata da Ghostscript e tenta, se serve, una seconda elaborazione con parametri diversi. Non tutti i siti sono esposti in automatico, perché il percorso vulnerabile deve risultare davvero raggiungibile.
L’aspetto più insidioso riguarda la natura del documento. L’attaccante non ha bisogno di inserire script o di sfruttare funzioni attive tipiche dei file interattivi. Gli basta preparare un PDF con dentro un’immagine JPEG 2000 dalle caratteristiche particolari, capaci di mandare in errore la fase di decodifica.
Come capire se Ghostscript è ancora vulnerabile
Artifex ha risolto il problema con Ghostscript 10.08.0, rilasciato l’8 settembre 2026. La correzione interviene sul ciclo che gestisce gli elementi JPEG 2000, sistemandone il comportamento e aggiungendo ulteriori controlli.
Per sapere se il programma è installato, gli amministratori possono chiedere al comando gs di mostrare la propria versione. Il numero ottenuto, tuttavia, non sempre basta a capire se la macchina è al sicuro. Le distribuzioni Linux tendono infatti a mantenere una certa versione del software applicandovi le patch di sicurezza, senza passare all’ultima release upstream. Un sistema Ubuntu 22.04, per fare un esempio, può continuare a indicare Ghostscript 9.55.0 pur avendo già ricevuto il pacchetto corretto.
Su Debian e Ubuntu si può ricorrere a dpkg oppure ad apt policy ghostscript, mentre su Fedora, Red Hat e derivate il controllo passa dal gestore rpm. La revisione individuata va poi confrontata con gli avvisi di sicurezza della propria distribuzione, consultabili per esempio nel Debian Security Tracker e nel database di sicurezza di Ubuntu.
La contromisura principale resta l’aggiornamento di Ghostscript, tramite i pacchetti del sistema operativo o con una release che includa la correzione. Aggiornare WordPress, plugin o temi non sistema il difetto, dato che il componente vulnerabile opera a un livello software differente. Chi si affida a un hosting gestito dovrebbe chiedere al provider se il pacchetto Ghostscript installato contiene la correzione e se i PDF caricati dagli utenti arrivano fino al motore di conversione, una verifica da fare anche quando non si ha accesso alla shell del server.
Fonte: TecnoAndroid