Kritische Ghostscript-Sicherheitslücke CVE-2026-39919 gefährdet WordPress und Hosting-Server

Ghostscript CVE-2026-39919 ist eine kritische Sicherheitslücke, die unter bestimmten Voraussetzungen zur Ausführung von Schadcode auf Linux-Servern führen kann. Die Schwachstelle betrifft die Verarbeitung speziell präparierter PDF-Dateien und hat einen CVSS-3.1-Score von 9,8.

Sicherheitsforscher von Wordfence haben nachgewiesen, dass die Schwachstelle in einer speziell vorbereiteten WordPress-Testumgebung ohne vorherige Anmeldung ausgenutzt werden kann, um beliebigen Code auszuführen.

Ghostscript wird von zahlreichen Anwendungen zur Verarbeitung von PDF- und PostScript-Dokumenten eingesetzt. Deshalb betrifft die Schwachstelle nicht nur WordPress-Websites, sondern potenziell auch andere Content-Management-Systeme, Webanwendungen und Hosting-Umgebungen.

Was ist Ghostscript CVE-2026-39919?

Ghostscript ist eine Software zur Verarbeitung und Konvertierung von PDF- und PostScript-Dateien.

Viele Anwendungen verwenden Ghostscript indirekt über Bibliotheken und Programme wie ImageMagick.

Auch WordPress kann Ghostscript verwenden, wenn hochgeladene PDF-Dokumente automatisch verarbeitet und Vorschaubilder erstellt werden.

Je nach Serverkonfiguration erfolgt die Verarbeitung über WordPress, die PHP-Erweiterung Imagick, ImageMagick und schließlich Ghostscript.

Ein Website-Betreiber muss Ghostscript daher nicht selbst installiert oder konfiguriert haben, damit seine Anwendung die Software indirekt verwendet.

Wie funktioniert die Ghostscript-Sicherheitslücke?

CVE-2026-39919 ist eine sogenannte Heap-based Buffer Overflow-Schwachstelle.

Das Problem befindet sich in der Verarbeitung von JPEG-2000-Bilddaten innerhalb von PDF-Dokumenten.

Bei bestimmten Kombinationen von Bildkomponenten mit unterschiedlichen Subsampling-Faktoren reserviert Ghostscript einen zu kleinen Speicherbereich.

Ein speziell präpariertes PDF-Dokument kann dadurch bewirken, dass Daten außerhalb des vorgesehenen Speicherbereichs geschrieben werden.

Dies kann zu Speicherkorruption führen.

Mögliche Folgen sind:

• Absturz des Ghostscript-Prozesses;
• Fehler bei der PDF-Verarbeitung;
• Speicherkorruption innerhalb des verarbeitenden Prozesses;
• Ausführung von Schadcode unter den Berechtigungen des betroffenen Prozesses;
• möglicher Zugriff auf Dateien und Daten, auf die dieser Prozess zugreifen darf.

Die Schwachstelle wurde mit einem CVSS-3.1-Score von 9,8 als kritisch eingestuft.

Remote Code Execution über manipulierte PDF-Dateien

Wordfence hat die technische Ausnutzbarkeit der Schwachstelle untersucht und zwei funktionierende Proof-of-Concept-Exploits für eine speziell vorbereitete Testumgebung entwickelt.

In dieser WordPress-Testumgebung konnten die Forscher durch die Verarbeitung eines manipulierten PDF-Dokuments Code ausführen, ohne zuvor über ein WordPress-Benutzerkonto verfügen zu müssen.

Die erfolgreiche Ausnutzung setzt allerdings voraus, dass die betroffene Anwendung die manipulierte PDF-Datei tatsächlich an eine verwundbare Ghostscript-Installation weitergibt.

Eine WordPress-Installation ist daher nicht allein deshalb ausnutzbar, weil Ghostscript auf dem Server vorhanden ist.

Wann sind WordPress-Websites besonders gefährdet?

Ein erhöhtes Risiko besteht insbesondere dann, wenn folgende Voraussetzungen erfüllt sind:

• Auf dem Server ist eine verwundbare Ghostscript-Version installiert.
• Die Website erlaubt den Upload von PDF-Dateien durch nicht vertrauenswürdige Benutzer.
• Die hochgeladenen Dokumente werden automatisch verarbeitet oder in Vorschaubilder umgewandelt.
• Die Dokumentverarbeitung verwendet Ghostscript direkt oder indirekt.
• Die betroffene Verarbeitung ist über öffentlich erreichbare Website-Funktionen zugänglich.

Die WordPress-Mediathek erlaubt anonymen Besuchern standardmäßig keinen direkten Datei-Upload.

Das Risiko kann jedoch durch Formular-Plugins, Kundenportale, Dokumentenmanagementsysteme oder individuell entwickelte Upload-Funktionen entstehen.

Auch Benutzerkonten mit eingeschränkten Berechtigungen können relevant sein, wenn diese PDF-Dokumente hochladen dürfen.

Welche Ghostscript-Versionen sind betroffen?

• Software: Artifex Ghostscript
• CVE: CVE-2026-39919
• Schwachstellentyp: Heap-based Buffer Overflow
• CWE: CWE-122
• Betroffene Upstream-Versionen: Ghostscript 9.21 bis einschließlich 10.07.1
• Erste korrigierte Upstream-Version: Ghostscript 10.08.0
• CVSS 3.1: 9,8 – Critical
• CVSS 4.0: 9,3 – Critical
• Mögliche Auswirkungen: Denial of Service und Remote Code Execution

Wichtig: Linux-Distributionen können Sicherheitskorrekturen in ältere Softwareversionen zurückportieren.

Eine Ghostscript-Version mit einer niedrigeren Versionsnummer als 10.08.0 ist deshalb nicht automatisch verwundbar.

Entscheidend sind die vollständige Paketversion und der Sicherheitsstatus der verwendeten Linux-Distribution.

Debian 12 und Debian 13: Unterschiedlicher Sicherheitsstatus

Die Debian Security Tracker-Daten zeigen am 13. Oktober 2026 unterschiedliche Sicherheitsstände für Debian 12 und Debian 13.

Debian 12 Bookworm

Für Debian 12 wird das Ghostscript-Paket mit der Version:

10.0.0~dfsg-11+deb12u8

weiterhin als verwundbar gegenüber CVE-2026-39919 eingestuft.

Administratoren sollten regelmäßig prüfen, ob eine offizielle Sicherheitsaktualisierung bereitgestellt wird.

Bis eine korrigierte Paketversion verfügbar ist, sollten insbesondere öffentlich erreichbare Funktionen zur Verarbeitung nicht vertrauenswürdiger PDF-Dateien eingeschränkt werden.

Debian 13 Trixie

Für Debian 13 ist eine Sicherheitskorrektur verfügbar.

Die erste korrigierte Debian-Paketversion für CVE-2026-39919 lautet:

10.05.1~dfsg-1+deb13u2

Neuere Debian-Sicherheitspakete, die diese Korrektur enthalten, sind ebenfalls geschützt.

Administratoren sollten die aktuelle Version aus den offiziellen Debian-Sicherheitsrepositories installieren.

Ghostscript-Version unter Linux überprüfen

Linux-Administratoren können mit folgendem Befehl prüfen, ob Ghostscript verfügbar ist:

command -v gs

Die Ghostscript-Programmversion lässt sich anzeigen mit:

gs --version

Unter Debian und Ubuntu kann die vollständige Paketversion abgefragt werden:

dpkg-query -W ghostscript

Zusätzlich kann geprüft werden, welche Paketversion über die konfigurierten Repositories verfügbar ist:

apt-cache policy ghostscript

Die angezeigte Paketversion muss anschließend mit den offiziellen Sicherheitsinformationen der jeweiligen Linux-Distribution verglichen werden.

Bei Containern, manuell installierter Software oder mehreren Ghostscript-Installationen können zusätzliche Kontrollen erforderlich sein.

ImageMagick und PHP Imagick überprüfen

Ghostscript wird häufig über ImageMagick aufgerufen.

PHP-Anwendungen können wiederum die Erweiterung Imagick verwenden, um Bild- und Dokumentdateien zu verarbeiten.

Administratoren können die ImageMagick-Version mit folgendem Befehl überprüfen:

magick -version

Die aktuell geladenen Sicherheitsrichtlinien lassen sich anzeigen mit:

magick -list policy

Ob ImageMagick PDF- und PostScript-Formate unterstützt, kann überprüft werden mit:

magick -list format

Die bloße Auflistung eines unterstützten Dateiformats bedeutet allerdings nicht automatisch, dass die Verarbeitung durch die aktive Sicherheitsrichtlinie erlaubt ist.

Entscheidend sind die tatsächlich geladenen ImageMagick-Policies und die verwendete Anwendungsumgebung.

Kann die PDF-Verarbeitung vorübergehend eingeschränkt werden?

Wenn eine Sicherheitsaktualisierung noch nicht verfügbar ist, kann die Verarbeitung nicht vertrauenswürdiger PDF-Dokumente vorübergehend eingeschränkt werden.

Eine mögliche Maßnahme besteht darin, das Einlesen bestimmter Dokumentformate über die ImageMagick-Sicherheitsrichtlinien zu verbieten.

Dies kann beispielsweise PDF-, PostScript-, EPS- und XPS-Dateien betreffen.

Solche Änderungen sollten jedoch sorgfältig geprüft werden.

Auf produktiven Hosting-Servern können Anwendungen wie Rechnungssoftware, Dokumentenmanagementsysteme oder CMS-Erweiterungen auf die PDF-Verarbeitung angewiesen sein.

Das Erzeugen einer PDF-Datei ist technisch nicht mit dem Einlesen und Rendern einer bestehenden PDF-Datei gleichzusetzen.

Eine Einschränkung der PDF-Verarbeitung kann deshalb unterschiedliche Auswirkungen auf einzelne Anwendungen haben.

Vservs empfiehlt, Änderungen an ImageMagick-Sicherheitsrichtlinien zunächst in einer Testumgebung zu überprüfen.

Die Einschränkung der PDF-Verarbeitung über ImageMagick schützt außerdem nicht automatisch Anwendungen, die Ghostscript direkt aufrufen.

Wird CVE-2026-39919 aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung liegt keine zuverlässige öffentliche Bestätigung vor, dass CVE-2026-39919 aktiv in Produktionsumgebungen ausgenutzt wird.

Wordfence hat die Möglichkeit zur Remote Code Execution jedoch in einer kontrollierten Testumgebung nachgewiesen.

Die Forscher untersuchten anschließend, ob ihre Exploits auch auf anderen Linux-Konfigurationen funktionieren.

Dabei wurden mehr als 10.000 Testdurchläufe auf zehn unterschiedlichen Linux-Paketumgebungen durchgeführt.

Die beiden entwickelten Exploits funktionierten außerhalb der passenden Testkonfiguration nicht unverändert.

Dies zeigt, dass die konkrete Software- und Systemkonfiguration für eine erfolgreiche Ausnutzung relevant ist.

Es bedeutet jedoch nicht, dass gezielte Angriffe auf andere Systeme ausgeschlossen sind.

Hosting-Server auf mögliche Kompromittierung überprüfen

Administratoren von Systemen, die PDF-Dateien aus nicht vertrauenswürdigen Quellen verarbeiten, sollten vorhandene Logs und Systemaktivitäten kontrollieren.

Achten Sie insbesondere auf:

• unerwartete Abstürze von Ghostscript-Prozessen;
• Fehler bei der Verarbeitung hochgeladener PDF-Dateien;
• ungewöhnlich viele PDF-Uploads oder wiederholte Konvertierungsversuche;
• unerwartete Prozesse unter dem Benutzerkonto des Webservers;
• verdächtige Dateien in temporären Upload-Verzeichnissen;
• unbekannte ausführbare Dateien;
• ungewöhnliche ausgehende Netzwerkverbindungen;
• unerklärliche Änderungen an Website- oder Anwendungsdateien.

Ein abgestürzter Ghostscript-Prozess ist allein noch kein Beweis für einen erfolgreichen Angriff.

Verdächtige Ereignisse sollten mit Webserver-, PHP-, System- und gegebenenfalls Security-Logs abgeglichen werden.

Für CVE-2026-39919 sind keine allgemein zuverlässigen Indicators of Compromise bekannt, mit denen sich jede erfolgreiche Ausnutzung eindeutig nachweisen lässt.

Welche Sicherheitsmaßnahmen sind erforderlich?

1. Prüfen Sie, ob Ghostscript auf dem Server installiert ist.
2. Kontrollieren Sie die vollständige Paketversion und den Sicherheitsstatus Ihrer Linux-Distribution.
3. Installieren Sie verfügbare Sicherheitsupdates.
4. Überprüfen Sie, welche Anwendungen PDF-Dateien automatisch verarbeiten.
5. Untersuchen Sie öffentlich erreichbare PDF-Upload-Funktionen.
6. Beschränken Sie die Verarbeitung nicht vertrauenswürdiger Dokumente, wenn noch keine Sicherheitskorrektur verfügbar ist.
7. Prüfen Sie die aktiven ImageMagick-Sicherheitsrichtlinien.
8. Beschränken Sie die Berechtigungen von Dokumentverarbeitungsprozessen.
9. Kontrollieren Sie System- und Anwendungslogs auf verdächtige Aktivitäten.
10. Aktualisieren Sie gegebenenfalls Containerimages und separat installierte Ghostscript-Versionen.

Eine Sandbox oder eingeschränkte Prozessberechtigungen können die Auswirkungen eines erfolgreichen Angriffs reduzieren.

Sie ersetzen jedoch nicht die Behebung der zugrunde liegenden Sicherheitslücke.

Warum ist CVE-2026-39919 für Hosting-Anbieter relevant?

Die Schwachstelle befindet sich nicht direkt in WordPress, sondern in einer Softwarekomponente des zugrunde liegenden Servers.

Mehrere Websites können dieselbe Ghostscript-Installation verwenden.

Damit kann eine verwundbare Systembibliothek potenziell mehrere Anwendungen innerhalb einer Hosting-Umgebung betreffen.

Besonders wichtig sind deshalb eine sorgfältige Serverkonfiguration, getrennte Benutzerberechtigungen, regelmäßige Sicherheitsupdates und die Überwachung von Dokumentverarbeitungsprozessen.

Managed VPS Hosting bei Vservs

Eine sichere Website benötigt nicht nur aktuelle CMS-Versionen, Plugins und Themes. Auch das Betriebssystem und die darunterliegenden Softwarekomponenten müssen regelmäßig gewartet werden.

Mit Vservs Managed VPS Hosting bieten wir professionell verwaltete Linux-Serverumgebungen mit technischem Servermanagement, Sicherheitsupdates, Hardening und Monitoring.

Eine professionell verwaltete Serverumgebung ersetzt nicht die Sicherheitsupdates der darauf betriebenen Anwendungen. Sie bildet jedoch eine wichtige Grundlage für den sicheren und zuverlässigen Betrieb geschäftskritischer Websites und Webanwendungen.

Das Management individueller Anwendungen und zusätzlicher Softwarekomponenten erfolgt im Rahmen der jeweils vereinbarten Dienstleistungen.

Zusammenfassung

• Software: Artifex Ghostscript
• CVE: CVE-2026-39919
• Schwachstelle: Heap-based Buffer Overflow
• CWE: CWE-122
• CVSS 3.1: 9,8 – Critical
• Betroffene Upstream-Versionen: 9.21 bis einschließlich 10.07.1
• Erste korrigierte Upstream-Version: 10.08.0
• Debian 12: Paketversion 10.0.0~dfsg-11+deb12u8 weiterhin als