Celah Keamanan Kritis pada Ghostscript Memungkinkan Peretas Membajak Server Melalui Unggahan File PDF
Sebuah kerentanan heap buffer overflow berstatus kritis dengan kode identifikasi CVE-2026-39919 ditemukan pada interpreter dan rendering engine Ghostscript. Celah keamanan ini berpotensi dimanfaatkan oleh penyerang untuk melakukan eksekusi kode jarak jauh (Remote Code Execution / RCE) hanya dengan menyisipkan berkas PDF yang telah dimodifikasi secara khusus.
Kerentanan tersebut pertama kali diungkap pada 23 Agustus 2026 oleh tim peneliti keamanan dari platform Wordfence milik Defiant dengan memanfaatkan sistem pendeteksi berbasis kecerdasan buatan (AI) bernama Argus.
Sebagai informasi, Ghostscript merupakan perangkat lunak interpreter untuk format PostScript dan PDF yang berfungsi merender dokumen PDF menjadi gambar, membuat thumbnail untuk kebutuhan pratinjau (preview), serta mengoptimalkan ukuran berkas PDF dengan cara mengompresi gambar di dalamnya dan menghapus data font yang tidak diperlukan. Pada ekosistem situs web berbasis WordPress, proses pembuatan thumbnail PDF umumnya memanfaatkan ekstensi PHP Imagick untuk memanggil aplikasi ImageMagick, yang kemudian akan menjalankan Ghostscript di latar belakang.
Berdasarkan rincian teknis yang dipublikasikan, sebuah berkas PDF berbahaya yang disisipi gambar berformat JPEG 2000 dapat memicu kesalahan penanganan pada low-bit-depth samples serta ketidakcocokan resolusi komponen (mismatched component resolutions). Dengan menggunakan sistem AI Argus, para peneliti berhasil mengembangkan dua exploit untuk CVE-2026-39919 yang memaksa Ghostscript menulis data sebesar 1.024 byte ke dalam buffer yang hanya berkapasitas 256 byte. Proses penulisan berlebih ini merusak memori di sekitarnya (memory corruption) dan membuka jalan bagi terjadinya unauthenticated remote code execution pada deployment WordPress.
Dampak Lintas Distribusi Linux dan Syarat Eksploitasi di WordPress
Meskipun fokus penelitian Wordfence tertuju pada ekosistem WordPress, mereka menegaskan bahwa celah keamanan ini berdampak luas pada seluruh sistem daring yang menjalankan Ghostscript versi 9.21 hingga 10.07.1. Kerentanan ini dapat dieksploitasi di luar lingkungan WordPress apabila payload yang digunakan disesuaikan dengan arsitektur target.
Dalam pengujiannya, tim peneliti memeriksa sepuluh lingkungan distribusi Linux populer—termasuk Debian, Ubuntu, Fedora, Alpine, dan AlmaLinux—serta snapshot resmi Docker image WordPress. Hasilnya menunjukkan bahwa seluruh lingkungan sistem tersebut mengandung baris kode yang rentan.
Saat menguji dua Proof-of-Concept (PoC) exploit yang telah dibuat, para peneliti mendapati bahwa keberhasilan pemicuan celah ini sangat bergantung pada konfigurasi lingkungan target. Dalam pengujian laboratorium, mereka mengeksekusi exploit tersebut sebanyak 10.240 kali terhadap berbagai paket distribusi Linux standar namun gagal mencapai RCE. Sebaliknya, mereka berhasil mengeksekusi kode dari jarak jauh ketika mengujinya pada test server yang dibangun secara khusus. Peneliti menemukan bahwa modifikasi pada font di dalam PDF, pengaturan bahasa, konfigurasi font sistem, serta salah satu core system library memungkinkan exploit tersebut berjalan sukses, meskipun belum sepenuhnya konsisten.
Khusus pada lingkungan situs berbasis WordPress, skenario eksploitasi ini membutuhkan empat prasyarat utama agar dapat berjalan. Pertama, penyerang harus memiliki akses untuk mengunggah berkas PDF, baik secara anonim (misalnya melalui formulir publik) maupun melalui akun dengan hak akses rendah (low-privileged account). Kedua, situs web tersebut memproses berkas PDF yang diunggah untuk menghasilkan pratinjau atau thumbnail. Ketiga, rantai pemrosesan tersebut meneruskan tugas ke Ghostscript dengan dukungan perangkat lunak dan pengaturan kebijakan (policy) yang mengizinkan rendering PDF. Keempat, layanan Ghostscript di server masih menjalankan kode decoding lawas yang belum ditambal (unpatched).
Wordfence turut memberikan catatan bahwa instalasi WordPress standar (stock) secara bawaan sebenarnya tidak mengizinkan pengguna anonim untuk mengunggah berkas langsung ke dalam Media Library. Namun secara umum, aplikasi web apa pun yang merender berkas PDF kiriman pengguna melalui versi Ghostscript yang terdampak tetap berisiko mengekspos celah ini, di mana syarat autentikasinya akan bergantung pada rancangan masing-masing aplikasi.
Ketersediaan Patch dan Langkah Mitigasi Bagi Administrator Server
Artifex, selaku pengembang dan pengelola proyek Ghostscript, telah merilis perbaikan resmi pada 8 September 2026 melalui pembaruan Ghostscript versi 10.08.0. Tambalan keamanan serupa juga telah diterapkan ke sejumlah versi lawas (backported), sehingga para administrator sistem disarankan untuk memeriksa rincian revisi paket pada repositori distribusi Linux masing-masing guna memastikan status patch.
Bagi para pengelola situs WordPress, sangat disarankan untuk segera memastikan kepada penyedia layanan web hosting mereka bahwa komponen Ghostscript di server telah diperbarui ke versi 10.08.0 atau yang lebih baru. Sementara bagi administrator yang menjalankan infrastruktur berbasis Docker, langkah terbaik adalah melakukan rebuild dan redeploy container menggunakan base image terbaru yang sudah memuat patch keamanan.
Apabila proses pembaruan Ghostscript belum dapat dilakukan dalam waktu dekat, langkah mitigasi sementara yang paling efektif adalah memblokir fitur unggahan berkas PDF ke dalam server atau menonaktifkan kebijakan rendering format PDF melalui berkas konfigurasi kebijakan ImageMagick. Hingga saat ini, pihak Wordfence menyatakan belum menemukan adanya indikasi eksploitasi aktif terhadap celah CVE-2026-39919 di dunia nyata (in the wild).
Sumber: Wordfence Threat Intelligence
