Ghostscript: un PDF malevolo compromette i server Web

Un file PDF caricato su un sito web può bastare a compromettere l'intero server che lo ospita. Non serve che il documento contenga script visibili, macro o altri elementi interattivi facili da riconoscere. Il pericolo viene da una vulnerabilità critica in Ghostscript, il software open source che decine di migliaia di applicazioni usano ogni giorno per leggere, elaborare e convertire file PDF e PostScript. La falla, presente nelle versioni dalla 9.21 alla 10.07.1, consente l'esecuzione di codice arbitrario sulla macchina remota semplicemente elaborando un documento costruito con cura.

Ghostscript è nato decenni fa come interprete del linguaggio PostScript, ma ha conquistato un ruolo centrale anche nella gestione dei PDF. È diffusissimo soprattutto sui server Linux, dove programmi e librerie lo sfruttano per creare anteprime, trasformare documenti in immagini e preparare file per la stampa. Il problema è che spesso lavora dietro le quinte, invisibile agli amministratori che potrebbero ignorare completamente la sua presenza nel sistema.

I ricercatori di Wordfence, con l'aiuto di Argus, un sistema di analisi basato su intelligenza artificiale, hanno dimostrato che un documento confezionato in modo mirato può corrompere la memoria e, in determinate condizioni, consentire di lanciare comandi sul sistema colpito. Il difetto riguarda specificamente i casi in cui sia disponibile il percorso di elaborazione JPEG 2000. L'attaccante non ha bisogno di inserire script o di sfruttare funzioni attive tipiche dei file interattivi: gli basta preparare un PDF con dentro un'immagine JPEG 2000 dalle caratteristiche particolari, capaci di mandare in errore la fase di decodifica.

Per comprendere la portata della scoperta, basta guardare cosa accade quando un'applicazione online riceve un PDF. Il caricamento è soltanto il primo passo. Molti servizi analizzano in automatico il contenuto, ne estraggono informazioni, generano miniature o convertono le pagine in immagini da mostrare nell'interfaccia. È proprio qui che si apre la strada al PDF malevolo. WordPress fornisce un esempio emblematico: dalla versione 4.7, il CMS è in grado di produrre un'anteprima della prima pagina di un PDF caricato nella libreria dei media, un'immagine che poi diventa la miniatura del documento. Quando il server dispone dei componenti necessari e la configurazione lo consente, WordPress si appoggia all'estensione Imagick, che dialoga con ImageMagick. Quest'ultimo, per interpretare il PDF, può avviare a sua volta Ghostscript come processo esterno.

La catena parte quindi da WordPress, passa per Imagick e ImageMagick e arriva infine a Ghostscript. Un'operazione all'apparenza banale come mostrare l'anteprima di un file appena ricevuto può così portare all'esecuzione di codice nativo scritto in C dentro un componente di sistema. Non tutti i siti sono esposti in automatico, perché il percorso vulnerabile deve risultare davvero raggiungibile, ma il meccanismo rimane lo stesso: un utente carica un PDF, il server lo elabora per generare una miniatura, e nel farlo attiva la vulnerabilità.

Artifex ha risolto il problema con Ghostscript 10.08.0, rilasciato l'8 settembre 2026. La correzione interviene sul ciclo che gestisce gli elementi JPEG 2000, sistemandone il comportamento e aggiungendo ulteriori controlli. Per sapere se il programma è installato, gli amministratori possono chiedere al comando gs di mostrare la propria versione. Il numero ottenuto, tuttavia, non sempre basta a capire se la macchina è al sicuro. Le distribuzioni Linux tendono infatti a mantenere una certa versione del software applicandovi le patch di sicurezza, senza passare all'ultima release upstream. Un sistema Ubuntu 22.04, per fare un esempio, può continuare a indicare Ghostscript 9.55.0 pur avendo già ricevuto il pacchetto corretto.

Su Debian e Ubuntu si può ricorrere a dpkg oppure ad apt policy ghostscript, mentre su Fedora, Red Hat e derivate il controllo passa dal gestore rpm. La revisione individuata va poi confrontata con gli avvisi di sicurezza della propria distribuzione, consultabili nel Debian Security Tracker e nel database di sicurezza di Ubuntu. La contromisura principale resta l'aggiornamento di Ghostscript tramite i pacchetti del sistema operativo o con una release che includa la correzione. Aggiornare WordPress, plugin o temi non sistema il difetto, dato che il componente vulnerabile opera a un livello software differente. Chi si affida a un hosting gestito dovrebbe chiedere al provider se il pacchetto Ghostscript installato contiene la correzione e se i PDF caricati dagli utenti arrivano fino al motore di conversione.