Une faille critique dans Ghostscript permet l'exécution de code à distance via des PDF malveillants

Une vulnérabilité critique de dépassement de tampon dans le tas (CVE-2026-39919) dans l'interpréteur et moteur de rendu Ghostscript permet une exécution de code à distance via des fichiers PDF spécialement conçus. Découverte le 23 août par les chercheurs de Wordfence via leur système Argus, la faille affecte les systèmes exécutant Ghostscript 9.21 à 10.07.1, y compris les déploiements WordPress qui génèrent des miniatures PDF via ImageMagick. Artifex a publié un correctif le 8 septembre dans la version 10.08.0, avec des rétroportages vers les anciennes versions ; les administrateurs WordPress doivent vérifier que leur hébergeur a mis à jour Ghostscript, ou bloquer les téléversements de PDF ou désactiver le rendu PDF dans ImageMagick. Wordfence indique n'avoir observé aucune exploitation en conditions réelles de CVE-2026-39919.