[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores":3,"prev-/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores":381,"next-/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores":360,"related-/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores":384,"author-Diego Herrera":402},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":337,"cta":338,"date":343,"dateModified":343,"description":344,"draft":345,"extension":346,"faq":347,"featured":345,"howto":360,"image":361,"imageAlt":362,"intent":363,"keywords":364,"meta":369,"navigation":370,"path":371,"publishedTime":372,"readingTime":373,"seo":374,"seoTitle":375,"stem":376,"tags":377,"__hash__":380},"blog/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores.md","Ghostscript: un PDF con una imagen trampa puede tomar el control de servidores que generan vistas previas","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":327},"minimark",[11,32,35,40,47,115,118,125,129,143,146,168,179,183,194,205,208,221,225,280,284,302,315],[12,13,14,15,19,20,23,24,27,28,31],"p",{},"Entre el 12 y el 13 de octubre de 2026 se dieron a conocer los detalles de una falla crítica en ",[16,17,18],"strong",{},"Ghostscript",", el programa que, sin que casi nadie lo note, convierte y dibuja archivos PDF en muchísimos servidores. Identificada como ",[16,21,22],{},"CVE-2026-39919"," (publicada en el registro de CVE el 15 de septiembre), permite que un ",[16,25,26],{},"PDF manipulado"," escriba fuera de la memoria asignada y, en ciertas condiciones, ",[16,29,30],{},"ejecute código"," con los permisos de quien lo procesa.",[12,33,34],{},"La corrección existe desde septiembre. El problema es que no ha llegado a todos los sistemas, y que muchas empresas ni siquiera saben que tienen Ghostscript instalado.",[36,37,39],"h2",{"id":38},"qué-se-descubrió","Qué se descubrió",[12,41,42,43,46],{},"La falla la encontró el equipo de ",[16,44,45],{},"Wordfence"," (empresa de seguridad para WordPress) el 23 de agosto con su herramienta de análisis Argus, y la detalló BleepingComputer el 13 de octubre.",[48,49,50,63],"table",{},[51,52,53],"thead",{},[54,55,56,60],"tr",{},[57,58,59],"th",{},"Dato",[57,61,62],{},"Detalle",[64,65,66,75,83,91,99,107],"tbody",{},[54,67,68,72],{},[69,70,71],"td",{},"Programa",[69,73,74],{},"Ghostscript (intérprete de PDF y PostScript)",[54,76,77,80],{},[69,78,79],{},"Tipo de falla",[69,81,82],{},"Desbordamiento de memoria al decodificar imágenes JPEG 2000 dentro de un PDF",[54,84,85,88],{},[69,86,87],{},"Gravedad",[69,89,90],{},"CVSS 9.8 (v3.1); 9.3 en CVSS 4.0; Red Hat la califica con 7.8",[54,92,93,96],{},[69,94,95],{},"Versiones afectadas",[69,97,98],{},"9.21 a 10.07.1",[54,100,101,104],{},[69,102,103],{},"Versión corregida",[69,105,106],{},"10.08.0, publicada por Artifex el 8 de septiembre de 2026",[54,108,109,112],{},[69,110,111],{},"Explotación real",[69,113,114],{},"No reportada al 19 de octubre; fuera del catálogo KEV de CISA",[12,116,117],{},"Fuentes: BleepingComputer (13 de octubre de 2026) y Daily CyberSecurity (12 de octubre de 2026), ambos con base en el reporte de Wordfence.",[12,119,120,121,124],{},"El truco está en una imagen JPEG 2000 con componentes de resolución desigual escondida dentro del PDF. Al procesarla, Ghostscript escribe ",[16,122,123],{},"1,024 bytes en un espacio de 256",". Para el resto del sistema, el archivo pasa como un PDF normal: no lo detectan las revisiones de extensión ni de tipo de archivo.",[36,126,128],{"id":127},"por-qué-te-toca-aunque-no-sepas-qué-es-ghostscript","Por qué te toca aunque no sepas qué es Ghostscript",[12,130,131,132,135,136,139,140,142],{},"Ghostscript casi nunca se instala a propósito. Llega como dependencia de otras herramientas. El caso que probó Wordfence es WordPress: el sitio usa la extensión ",[16,133,134],{},"Imagick"," de PHP, que llama a ",[16,137,138],{},"ImageMagick",", que a su vez lanza ",[16,141,18],{}," para crear la miniatura del PDF que alguien subió.",[12,144,145],{},"En una PyME mexicana eso se parece a:",[147,148,149,156,162],"ul",{},[150,151,152,155],"li",{},[16,153,154],{},"\"Envíanos tu CV en PDF\""," en la sección de bolsa de trabajo del sitio.",[150,157,158,161],{},[16,159,160],{},"Portales de proveedores"," donde se sube la constancia de situación fiscal, la opinión de cumplimiento o la factura en PDF, y el sistema muestra una vista previa.",[150,163,164,167],{},[16,165,166],{},"Gestores documentales, digitalizadores de facturas, servicios de impresión y pasarelas de correo"," que convierten adjuntos, según la lista de usos que da el análisis de Daily CyberSecurity.",[12,169,170,171,174,175,178],{},"Wordfence revisó ",[16,172,173],{},"diez entornos Linux"," (Debian, Ubuntu, Fedora, Alpine y AlmaLinux, entre otros) y una imagen oficial de WordPress en Docker: ",[16,176,177],{},"todos traían el código vulnerable",".",[36,180,182],{"id":181},"la-buena-noticia-y-la-mala","La buena noticia y la mala",[12,184,185,186,189,190,193],{},"La buena: explotarla no es trivial. Wordfence corrió sus exploits ",[16,187,188],{},"10,240 veces"," contra los paquetes estándar de esas distribuciones ",[16,191,192],{},"sin lograr ejecutar código","; solo funcionaron en un servidor de pruebas armado a la medida, aunque el mismo exploit sí sirvió en cuatro instalaciones que compartían exactamente el mismo ejecutable de Ghostscript. Tampoco hay ataques reportados.",[12,195,196,197,200,201,204],{},"La mala: la corrección depende de que ",[16,198,199],{},"tu sistema operativo o tu imagen de contenedor"," se actualicen, no de un complemento de WordPress. Y no todas las distribuciones han terminado. Al 19 de octubre, el rastreador de seguridad de Debian seguía marcando ",[16,202,203],{},"Debian 12 (bookworm) como vulnerable",", mientras Debian 13 ya tenía parche en su repositorio de seguridad (aviso DSA-6516-1). Ubuntu publicó correcciones para 22.04, 24.04 y 26.04, AlmaLinux a principios de octubre, y Red Hat ya distribuye paquetes corregidos de ghostscript mediante avisos RHSA (aunque califica la falla como moderada, con 7.8, porque requiere que se procese un PDF manipulado).",[12,206,207],{},"Es el tipo de falla que sigue abierta meses después en el servidor que \"nadie toca\" o en la imagen de Docker que no se ha vuelto a generar.",[209,210,213],"callout",{"icon":211,"title":212},"i-lucide-triangle-alert","-dSAFER no es la solución",[12,214,215,216,220],{},"El modo seguro de Ghostscript (",[217,218,219],"code",{},"-dSAFER",") no detiene esta falla. Tampoco la validan los filtros de extensión o tipo MIME. La única corrección es actualizar el paquete; lo demás solo reduce la exposición mientras tanto.",[36,222,224],{"id":223},"qué-hacer-esta-semana","Qué hacer esta semana",[226,227,228,242,248,254,260,274],"ol",{},[150,229,230,233,234,237,238,241],{},[16,231,232],{},"Haz el inventario."," Pregunta a tu proveedor de hosting o revisa tú mismo qué servidores tienen Ghostscript. En Linux, ",[217,235,236],{},"gs --version"," responde si está instalado; en Debian o Ubuntu, ",[217,239,240],{},"dpkg -l ghostscript"," muestra la revisión exacta del paquete.",[150,243,244,247],{},[16,245,246],{},"Ubica dónde entran PDF de fuera",": formularios de empleo, portales de proveedores, carga de documentos de clientes, correo que se convierte a imagen. Esos son los puntos de entrada.",[150,249,250,253],{},[16,251,252],{},"Actualiza el paquete del sistema"," a 10.08.0 o a la revisión corregida de tu distribución. Como las distribuciones trasladan el parche a versiones viejas, confirma la revisión en su aviso, no solo el número de versión.",[150,255,256,259],{},[16,257,258],{},"Reconstruye los contenedores."," Si tu sitio corre en Docker, actualizar el servidor no basta: hay que regenerar la imagen con una base parchada y volver a desplegar.",[150,261,262,265,266,269,270,273],{},[16,263,264],{},"Si estás en Debian 12 o no puedes actualizar ya",", deja de aceptar PDF de visitantes y usuarios de bajos privilegios, o desactiva la lectura de PDF en ImageMagick. En su archivo de políticas (",[217,267,268],{},"policy.xml",") eso se hace con una línea como ",[217,271,272],{},"\u003Cpolicy domain=\"coder\" rights=\"none\" pattern=\"PDF\" />",". Limita también cuántos archivos se pueden subir por envío y cuántos envíos por minuto.",[150,275,276,279],{},[16,277,278],{},"Separa la conversión."," Lo más sano es procesar los PDF en un servicio aparte, con permisos mínimos y sin acceso al resto de la red, no en el mismo servidor del sitio o del ERP.",[36,281,283],{"id":282},"el-patrón-de-fondo","El patrón de fondo",[12,285,286,287,292,293,297,298,178],{},"No es la primera vez que un sitio WordPress queda expuesto por algo que no es WordPress. En septiembre vimos ",[288,289,291],"a",{"href":290},"/blog/noticias/wordpress-7-1-2-cve-2026-87902-explotada","una falla de WordPress 7.1.2 explotada en ataques"," y ",[288,294,296],{"href":295},"/blog/noticias/woocommerce-wholesale-lead-capture-webshell","un complemento de WooCommerce usado para instalar puertas traseras",". Esta vez el riesgo vive una capa más abajo, en el sistema operativo, como con ",[288,299,301],{"href":300},"/blog/noticias/libreoffice-openoffice-cve-2026-63277-hojas-calculo","las hojas de cálculo que abrían la puerta en LibreOffice",[12,303,304,305,309,310,314],{},"Actualizar el panel de WordPress no es tener el servidor al día. La ",[288,306,308],{"href":307},"/blog/tutorial/hardening-servidores-linux","guía de hardening de servidores Linux"," y un ",[288,311,313],{"href":312},"/blog/tutorial/escanear-vulnerabilidades-red","escaneo periódico de vulnerabilidades"," ayudan a que estas dependencias no se queden atrás.",[12,316,317,318,292,322,326],{},"Si no sabes qué servidores procesan los archivos que te mandan clientes y proveedores, en ",[288,319,321],{"href":320},"/servicios/ciberseguridad","ciberseguridad",[288,323,325],{"href":324},"/servicios/servidores","servidores"," hacemos el inventario, aplicamos los parches del sistema y de los contenedores, y cerramos la carga de archivos donde no se necesita.",{"title":328,"searchDepth":329,"depth":330,"links":331},"",2,3,[332,333,334,335,336],{"id":38,"depth":329,"text":39},{"id":127,"depth":329,"text":128},{"id":181,"depth":329,"text":182},{"id":223,"depth":329,"text":224},{"id":282,"depth":329,"text":283},"noticias",{"title":339,"description":340,"label":341,"to":320,"icon":342},"¿Tus servidores reciben archivos de clientes o proveedores?","Revisamos qué sistemas procesan PDF e imágenes, aplicamos los parches del sistema operativo y de los contenedores, y cerramos la carga de archivos donde no hace falta.","Ver ciberseguridad","i-lucide-shield-alert","2026-10-21","CVE-2026-39919 en Ghostscript permite ejecutar código con un PDF manipulado en sistemas que generan miniaturas. El parche existe, pero no ha llegado a todos.",false,"md",[348,351,354,357],{"question":349,"answer":350},"¿Qué versiones de Ghostscript están afectadas por CVE-2026-39919?","De la 9.21 a la 10.07.1, según el reporte de Wordfence citado por BleepingComputer el 13 de octubre de 2026. Artifex, quien mantiene Ghostscript, corrigió la falla en la versión 10.08.0, publicada el 8 de septiembre. Varias distribuciones de Linux trasladaron la corrección a versiones anteriores, así que el número de versión por sí solo no basta: hay que revisar la revisión del paquete en el aviso de tu distribución.",{"question":352,"answer":353},"¿Mi sitio WordPress está en riesgo?","Solo si se cumplen cuatro condiciones que describe Wordfence: que alguien pueda subir un PDF (de forma anónima o con una cuenta de bajos privilegios), que el sitio procese ese PDF para crear una miniatura o vista previa, que ese proceso llegue a Ghostscript con la lectura de PDF permitida, y que Ghostscript no esté parchado. WordPress de fábrica no permite subir archivos a la biblioteca de medios sin iniciar sesión, pero muchos formularios y complementos sí reciben PDF.",{"question":355,"answer":356},"¿Ya se está explotando?","Al 19 de octubre de 2026 no había reportes públicos de explotación real, y la falla no aparecía en el catálogo de vulnerabilidades explotadas (KEV) de CISA. Wordfence construyó exploits que funcionaron en un servidor de pruebas preparado para ello, pero no lograron ejecutar código en los paquetes estándar de diez distribuciones de Linux tras 10,240 intentos. Eso reduce el riesgo inmediato, no lo elimina: un atacante con tiempo puede ajustar el ataque a un entorno concreto.",{"question":358,"answer":359},"¿La opción -dSAFER de Ghostscript me protege?","No. Según el análisis publicado por Daily CyberSecurity con base en el reporte de Wordfence, el modo -dSAFER no detiene esta falla, y tampoco la detectan las validaciones de extensión, tipo MIME o estructura del archivo. La corrección real es actualizar el paquete.",null,"/images/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores.jpg","Documento PDF entrando a un servidor web con una alerta roja sobre la vista previa generada","informational",[365,366,367,368],"cve-2026-39919","ghostscript vulnerabilidad pdf","imagemagick pdf wordpress","ghostscript 10.08.0",{},true,"/blog/noticias/ghostscript-cve-2026-39919-pdf-servidores","2026-10-21T08:15:00-06:00",5,{"title":5,"description":344},"Ghostscript CVE-2026-39919: PDF malicioso y servidores","blog/noticias/ghostscript-cve-2026-39919-pdf-servidores",[321,325,378,379],"wordpress","parches","CaCkEk7JNvMNrHfiPEjqbp_RgY9Y703hqgi8W4JIAr0",{"path":382,"title":383},"/blog/noticias/senado-aprueba-ley-economia-digital-pagos","El Senado aprobó la Ley de Economía Digital: ya solo falta el DOF para que Hacienda elija dónde no habrá efectivo",[385,391,397],{"path":386,"title":387,"description":388,"date":343,"category":337,"image":389,"imageAlt":390,"readingTime":373},"/blog/noticias/ley-economia-digital-sectores-solo-pago-digital","Ley de Economía Digital: Hacienda decidirá dónde ya no se acepta efectivo; cómo preparar tu cobro","Con la Ley de Economía Digital aprobada, Hacienda tendrá 15 días hábiles tras el DOF para fijar sectores solo con pago digital. Cómo preparar tu cobro.","/images/blog/noticias/ley-economia-digital-sectores-solo-pago-digital.jpg","Terminal de cobro con código QR en el mostrador de un comercio mexicano junto a una caja registradora sin billetes",{"path":392,"title":393,"description":394,"date":343,"category":337,"image":395,"imageAlt":396,"readingTime":373},"/blog/noticias/copilot-agentes-mcp-25-octubre-gemini-identidad","Los agentes de IA ya piden credencial: Copilot abre la carga de agentes con MCP el 25 de octubre y Google les da correo propio","Desde el 25 de octubre cualquier usuario podrá subir a Copilot agentes con MCP si el administrador no lo limita. Google, además, da cuenta propia a sus agentes.","/images/blog/noticias/copilot-agentes-mcp-25-octubre-gemini-identidad.jpg","Panel de administración con un interruptor de permisos para agentes de IA junto a una credencial de empleado digital",{"path":382,"title":383,"description":398,"date":399,"category":337,"image":400,"imageAlt":401,"readingTime":373},"El pleno del Senado aprobó el 20 de octubre la Ley de Economía Digital sin cambios. Pasa al Ejecutivo; tras el DOF, Hacienda tendrá 15 días hábiles para fijar sectores.","2026-10-20","/images/blog/noticias/senado-aprueba-ley-economia-digital-pagos.jpg","Pleno del Senado con un ícono de pago con código QR y un calendario marcando la publicación en el Diario Oficial",{"id":403,"avatar":360,"bio":404,"entityType":405,"expertise":406,"extension":407,"meta":408,"name":6,"role":409,"slug":410,"social":360,"stem":411,"url":7,"__hash__":412},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]