Entre el 12 y el 13 de octubre de 2026 se dieron a conocer los detalles de una falla crítica en Ghostscript, el programa que, sin que casi nadie lo note, convierte y dibuja archivos PDF en muchísimos servidores. Identificada como CVE-2026-39919 (publicada en el registro de CVE el 15 de septiembre), permite que un PDF manipulado escriba fuera de la memoria asignada y, en ciertas condiciones, ejecute código con los permisos de quien lo procesa.
La corrección existe desde septiembre. El problema es que no ha llegado a todos los sistemas, y que muchas empresas ni siquiera saben que tienen Ghostscript instalado.
Qué se descubrió
La falla la encontró el equipo de Wordfence (empresa de seguridad para WordPress) el 23 de agosto con su herramienta de análisis Argus, y la detalló BleepingComputer el 13 de octubre.
| Dato | Detalle |
|---|---|
| Programa | Ghostscript (intérprete de PDF y PostScript) |
| Tipo de falla | Desbordamiento de memoria al decodificar imágenes JPEG 2000 dentro de un PDF |
| Gravedad | CVSS 9.8 (v3.1); 9.3 en CVSS 4.0; Red Hat la califica con 7.8 |
| Versiones afectadas | 9.21 a 10.07.1 |
| Versión corregida | 10.08.0, publicada por Artifex el 8 de septiembre de 2026 |
| Explotación real | No reportada al 19 de octubre; fuera del catálogo KEV de CISA |
Fuentes: BleepingComputer (13 de octubre de 2026) y Daily CyberSecurity (12 de octubre de 2026), ambos con base en el reporte de Wordfence.
El truco está en una imagen JPEG 2000 con componentes de resolución desigual escondida dentro del PDF. Al procesarla, Ghostscript escribe 1,024 bytes en un espacio de 256. Para el resto del sistema, el archivo pasa como un PDF normal: no lo detectan las revisiones de extensión ni de tipo de archivo.
Por qué te toca aunque no sepas qué es Ghostscript
Ghostscript casi nunca se instala a propósito. Llega como dependencia de otras herramientas. El caso que probó Wordfence es WordPress: el sitio usa la extensión Imagick de PHP, que llama a ImageMagick, que a su vez lanza Ghostscript para crear la miniatura del PDF que alguien subió.
En una PyME mexicana eso se parece a:
- "Envíanos tu CV en PDF" en la sección de bolsa de trabajo del sitio.
- Portales de proveedores donde se sube la constancia de situación fiscal, la opinión de cumplimiento o la factura en PDF, y el sistema muestra una vista previa.
- Gestores documentales, digitalizadores de facturas, servicios de impresión y pasarelas de correo que convierten adjuntos, según la lista de usos que da el análisis de Daily CyberSecurity.
Wordfence revisó diez entornos Linux (Debian, Ubuntu, Fedora, Alpine y AlmaLinux, entre otros) y una imagen oficial de WordPress en Docker: todos traían el código vulnerable.
La buena noticia y la mala
La buena: explotarla no es trivial. Wordfence corrió sus exploits 10,240 veces contra los paquetes estándar de esas distribuciones sin lograr ejecutar código; solo funcionaron en un servidor de pruebas armado a la medida, aunque el mismo exploit sí sirvió en cuatro instalaciones que compartían exactamente el mismo ejecutable de Ghostscript. Tampoco hay ataques reportados.
La mala: la corrección depende de que tu sistema operativo o tu imagen de contenedor se actualicen, no de un complemento de WordPress. Y no todas las distribuciones han terminado. Al 19 de octubre, el rastreador de seguridad de Debian seguía marcando Debian 12 (bookworm) como vulnerable, mientras Debian 13 ya tenía parche en su repositorio de seguridad (aviso DSA-6516-1). Ubuntu publicó correcciones para 22.04, 24.04 y 26.04, AlmaLinux a principios de octubre, y Red Hat ya distribuye paquetes corregidos de ghostscript mediante avisos RHSA (aunque califica la falla como moderada, con 7.8, porque requiere que se procese un PDF manipulado).
Es el tipo de falla que sigue abierta meses después en el servidor que "nadie toca" o en la imagen de Docker que no se ha vuelto a generar.
-dSAFER) no detiene esta falla. Tampoco la validan los filtros de extensión o tipo MIME. La única corrección es actualizar el paquete; lo demás solo reduce la exposición mientras tanto.Qué hacer esta semana
- Haz el inventario. Pregunta a tu proveedor de hosting o revisa tú mismo qué servidores tienen Ghostscript. En Linux,
gs --versionresponde si está instalado; en Debian o Ubuntu,dpkg -l ghostscriptmuestra la revisión exacta del paquete. - Ubica dónde entran PDF de fuera: formularios de empleo, portales de proveedores, carga de documentos de clientes, correo que se convierte a imagen. Esos son los puntos de entrada.
- Actualiza el paquete del sistema a 10.08.0 o a la revisión corregida de tu distribución. Como las distribuciones trasladan el parche a versiones viejas, confirma la revisión en su aviso, no solo el número de versión.
- Reconstruye los contenedores. Si tu sitio corre en Docker, actualizar el servidor no basta: hay que regenerar la imagen con una base parchada y volver a desplegar.
- Si estás en Debian 12 o no puedes actualizar ya, deja de aceptar PDF de visitantes y usuarios de bajos privilegios, o desactiva la lectura de PDF en ImageMagick. En su archivo de políticas (
policy.xml) eso se hace con una línea como<policy domain="coder" rights="none" pattern="PDF" />. Limita también cuántos archivos se pueden subir por envío y cuántos envíos por minuto. - Separa la conversión. Lo más sano es procesar los PDF en un servicio aparte, con permisos mínimos y sin acceso al resto de la red, no en el mismo servidor del sitio o del ERP.
El patrón de fondo
No es la primera vez que un sitio WordPress queda expuesto por algo que no es WordPress. En septiembre vimos una falla de WordPress 7.1.2 explotada en ataques y un complemento de WooCommerce usado para instalar puertas traseras. Esta vez el riesgo vive una capa más abajo, en el sistema operativo, como con las hojas de cálculo que abrían la puerta en LibreOffice.
Actualizar el panel de WordPress no es tener el servidor al día. La guía de hardening de servidores Linux y un escaneo periódico de vulnerabilidades ayudan a que estas dependencias no se queden atrás.
Si no sabes qué servidores procesan los archivos que te mandan clientes y proveedores, en ciberseguridad y servidores hacemos el inventario, aplicamos los parches del sistema y de los contenedores, y cerramos la carga de archivos donde no se necesita.
