GhostscriptにCVSS 9.8の脆弱性（CVE-2026-39919）、PDFアップロード経由でサーバー侵害の恐れ―WordPressにも影響|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月15日更新日時: 2026年10月15日

PDFやPostScriptを処理するソフトウェア「Ghostscript」に、細工されたPDFによってメモリ破壊を引き起こす深刻な脆弱性「CVE-2026-39919」が確認されました。米セキュリティ企業DefiantのWordfence脅威インテリジェンスチームが2026年10月12日に詳細を公開し、同月13日に米BleepingComputerが報じています。CVSS v3.1の基本値は9.8（Critical）、CVSS v4.0は9.3です。

この問題はWordPress本体の脆弱性ではありません。利用者がアップロードしたPDFからプレビュー画像を作る際、WordPressからPHPのImagick拡張、ImageMagickを経由してGhostscriptが呼び出される環境などで影響します。研究者は専用のWordPress検証環境で認証なしの遠隔コード実行（RCE）に成功しましたが、実環境での悪用は確認されていません。

Ghostscriptの開発元Artifexは2026年9月8日にバージョン10.08.0を公開し、脆弱性を修正しています。Linuxディストリビューションが旧バージョンへ修正をバックポートしている場合もあり、管理者はバージョン番号だけでなくパッケージの改訂番号と修正状況を確認する必要があります。

Ghostscriptの脆弱性CVE-2026-39919のサマリー

対象製品：Artifex Ghostscript
CVE：CVE-2026-39919
深刻度：CVSS v3.1 9.8（Critical）／CVSS v4.0 9.3（Critical）
脆弱性の分類：ヒープベースのバッファオーバーフロー（CWE-122）
原因となる処理：PDF内のJPEG 2000画像を復号する処理
影響する上流版：Ghostscript 9.21～10.07.1（該当するOpenJPEGデコード経路が存在する構成）。CVEレコードでは10.08.0より前を影響対象として記載
修正版：Ghostscript 10.08.0（2026年9月8日公開）、またはOSベンダーが修正を取り込んだパッケージ
発見者：WordfenceのAlex Thomas氏およびAI支援の調査基盤「Wordfence Argus」
WordPressで問題となる条件：第三者がPDFを投入でき、そのPDFが脆弱なGhostscriptでプレビュー変換されること
悪用状況：研究者の専用テスト環境ではRCEに成功。2026年10月12日のWordfence発表時点で実環境の攻撃は未確認

項目	内容
発見日	2026年8月23日
開発元への報告	2026年8月23日。翌24日にArtifexが確認
修正版公開	2026年9月8日
CVE公開	2026年9月15日
詳細技術報告	2026年10月12日（Wordfence）
影響	メモリ破壊、プロセス異常終了。条件がそろう環境では遠隔コード実行の恐れ
優先的な対応	修正版パッケージの導入、PDF処理経路の確認、更新が難しい場合のアップロード・変換制限

PDFアップロードからサーバー上のGhostscriptへ到達する仕組み

GhostscriptはPDFの画像化、印刷、ファイル変換などを担うソフトウェアです。Webサイトや業務システムがGhostscriptを直接呼び出していなくても、画像変換ライブラリなどの内部依存先として利用している場合があります。

Wordfenceによると、WordPressではPDFの先頭ページのサムネイルを生成する際に、環境に応じて「WordPress → Imagick → ImageMagick → Ghostscript」という処理経路が使われます。この変換が行われる場合に、PDF内に含まれる細工された画像が問題となります。ファイルをサーバーへ保存するだけで、Ghostscriptによる変換を実行しない経路は今回の攻撃条件に該当しません。

WordPressサイトで脆弱性に到達するには、利用者がPDFをアップロードできること、そのファイルをプレビュー・サムネイル生成で処理すること、Ghostscriptを呼び出す構成であること、そして修正前のコードを使っていることが必要です。標準のWordPressは匿名ユーザーによるメディアライブラリへのアップロードを許可しません。公開フォームなどでPDFを受け付ける追加機能がある場合は、処理後の流れを確認する必要があります。

WordPress以外にも、請求書の自動取り込み、文書管理システム、印刷サーバー、メール添付ファイルのプレビュー、文書変換APIなどが影響する可能性があります。

JPEG 2000画像の処理でバッファを超過、検証環境では遠隔コード実行

脆弱性はGhostscriptのJPEG 2000画像処理部分に存在します。画像の構成要素の解像度や、1画素あたりのデータ量の扱いが異なるケースで、確保した領域より多いデータを書き込んでしまう問題です。

Wordfenceの説明では、研究用の入力で256バイト分の領域を確保した処理が1,024バイトを書き込み、周辺メモリを破壊することを確認しました。こうした異常は単なるプロセス停止にとどまらず、条件によって任意コードの実行に発展する可能性があります。Ghostscriptの実行権限がWebサーバーの処理用アカウントであれば、攻撃者が得られる権限も原則としてそのアカウントの権限に制約され、直ちにroot権限を奪えるという意味ではありません。

研究者は2種類の実証用入力を用意し、専用のWordPressテストサーバーで認証なしのコード実行に成功しました。一方、Debian、Ubuntu、Fedora、AlmaLinux、AlpineやWordPress公式Dockerイメージを含む計10種類の環境で、同じ実証用入力を合計1万240回実行したところ、同一の手法ではコード実行に成功していません。実証に成功した環境とソフトウェアのビルドが一致するかどうかが結果を左右したと説明しています。

つまり「PDFを1つアップロードすれば、すべてのWordPressサイトを乗っ取れる」というものではありません。ただし、同一構成の複数サーバーや、構成を把握された標的では、攻撃が成立する余地があります。Ghostscriptの-dSAFER設定もメモリ破壊そのものを防ぐものではなく、修正の代替にはなりません。

修正はGhostscript 10.08.0、Ubuntu・Debianでは旧版へのバックポートも

Ghostscript開発元の公式リリースでは、2026年9月8日公開の10.08.0が修正版です。ただし、UbuntuやDebianなどのLinuxディストリビューションでは、Ghostscript本体の表示バージョンを変えず、脆弱性修正だけを組み込んだセキュリティ更新を配布する場合があります。

2026年10月14日に確認した公式トラッカーの記載例は以下の通りです。

OS	修正済みパッケージの例（公式情報）
Ubuntu 22.04 LTS	`9.55.0~dfsg1-0ubuntu5.14`
Ubuntu 24.04 LTS	`10.02.1~dfsg1-0ubuntu7.9`
Ubuntu 26.04 LTS	`10.06.0~dfsg-3ubuntu1.1`
Debian 13（trixie、security）	`10.05.1~dfsg-1+deb13u3`
Debian 12（bookworm）	公式トラッカー上の掲載パッケージは調査時点で「vulnerable」

パッケージ情報は随時更新されます。Ubuntuではdpkg -s ghostscript、Debian系ではパッケージ改訂番号の確認、Red Hat系ではrpm -q ghostscriptなどを使い、配布元のセキュリティ情報と照合してください。gs --versionだけではバックポート済みか判定できない場合があります。また、Ghostscript 10.08.0のリリース候補版は修正前であるため、正式リリースかどうかにも注意が必要です。

コンテナを利用している場合は、更新されたベースイメージを取得した上でイメージを再構築し、再デプロイしてください。単に既存コンテナを再起動するだけでは古いパッケージは置き換わりません。

WordPress・PDF受付システムの管理者が確認したい対策

まず、PDFの受付機能と変換処理のつながりを調べます。公開問い合わせフォーム、資料投稿フォーム、会員用ファイルアップロード、社内文書管理などのうち、受け取ったPDFを画像化する経路が対象です。画像変換がホスティング事業者のシステム側で実施される場合は、Ghostscriptの利用有無と修正状況を事業者に確認してください。

対応は、次の順で整理できます。

Ghostscriptの利用有無とPDF変換経路を特定し、OS・コンテナ・ホスティング事業者の修正状況を確認する。
修正済みパッケージを適用し、必要に応じて変換プロセスの再起動やコンテナ再デプロイを実施する。
更新が難しい間は、不特定ユーザーによるPDFアップロードやサムネイル生成を一時停止する。ImageMagickのセキュリティポリシーでPDFの読み込みを制限する方法もあるが、その場合はプレビュー機能への影響を確認する。
PDF変換処理をWebアプリ本体から権限分離し、機密ファイルへのアクセス権や不要な外部通信を制限する。これは被害範囲を小さくする対策であり、脆弱性を修正するものではない。
再開後はアップロード・変換処理のログや異常終了の記録を確認し、同じサーバーイメージを使う他システムにも修正を展開する。

単にPDF拡張子やMIMEタイプを検査するだけでは、正常なPDF形式の内部にある細工されたJPEG 2000画像を検出できるとは限りません。Wordfenceは1,029バイトの有効なPDFで問題を再現したと説明しています。アップロード回数の制限は試行回数を減らす緩和策にはなりますが、根本的な修正にはなりません。

このように、Webアプリ自体に重大な欠陥がなくても、背後で動くOSパッケージや変換ツールの脆弱性が侵害経路になります。利用資産、依存関係、修正状況を追跡する脆弱性管理の運用に加え、ソフトウェア構成を把握するSBOMの考え方も関連します。

過去にもGhostscriptでコード実行の脆弱性、今回はJPEG 2000処理が問題に

Ghostscriptでは2024年にも、細工された文書によってコード実行につながり得る「CVE-2024-29510」が公表されています。今回のCVE-2026-39919とは原因が異なるものの、PDFなどの文書処理を担うソフトウェアがサーバー侵害の入口となり得る点は共通しています。

また、Wordfenceは2026年9月にも画像形式HEIFを処理するlibheifのヒープバッファオーバーフローを公表しており、画像・文書の自動プレビュー処理を通じたリスクを継続的に調査しています。今回の脆弱性を検出した「Argus」はAIを用いた研究支援基盤ですが、AIが攻撃に使われたと発表された事案ではありません。