Vulnerabilidad de Ghostscript y subidas de PDF: revise hoy

Si su sitio le permite a la gente subir un currículum, una solicitud de cotización o una foto de su proyecto, un titular sobre un PDF que toma el control de un servidor es difícil de ignorar. Una vulnerabilidad de Ghostscript puede llegar a una subida de PDF en WordPress, pero solo cuando se cumplen varias cosas a la vez, y usted puede revisarlas en una tarde.

Empiece con tres pasos. Haga una lista de cada formulario de su sitio que acepte un archivo. Pregunte a su host una sola cosa sobre el paquete de Ghostscript del servidor. Luego actualice WordPress, porque una falla aparte en el propio WordPress se corrigió en agosto.

No necesita cerrar la página de empleos esta noche. Sí necesita saber cuáles de sus formularios entregan un archivo al servidor y si alguien ya confirmó la corrección.

Revise esta noche sus formularios de subida para saber en qué punto está

La primera tarea toma unos diez minutos y no necesita herramientas técnicas. Abra su sitio en una ventana de navegación privada y haga clic en cada página que pueda recibir un archivo. Anote lo que encuentre, porque las respuestas determinan qué tan urgente es lo demás.

Para cada subida, anote quién puede enviarla, qué tipos de archivo acepta y a dónde va el archivo después. Anote también si alguien de su equipo ve una vista previa o una miniatura. Una miniatura significa que un software abrió el archivo, y ese es el paso que importa aquí.

Lugares comunes donde buscar:

• Una página de empleo o de solicitud de trabajo que reciba currículums
• Un formulario de cotización o presupuesto que reciba planos, fotos o documentos
• Un formulario de contacto con un campo para adjuntar archivos
• Formularios de garantía, reparación o solicitud de servicio
• Un portal de clientes, una página de membresía o una solicitud de proveedor
• Cualquier formulario incrustado de otro servicio
• Cuentas de WordPress de nivel Autor o superior, que pueden subir archivos a la Media Library (biblioteca de medios)

Guarde la lista en un lugar donde pueda encontrarla después. Cada paso posterior de esta publicación se refiere a ella, y la próxima vez que aparezca un titular así, usted empezará con un inventario terminado y no con una hoja en blanco.

Dos fallas separadas están en las noticias, y cada una tiene su propia corrección

Los titulares han mezclado dos registros en una sola historia, así que conviene separarlos. Comparten una misma configuración: en ambos casos hay un servidor que usa Imagick y Ghostscript para manejar archivos. Se diferencian en quién debe hacer llegar un archivo y en quién aplica la corrección.

El registro de Ghostscript, CVE-2026-39919 en NVD, describe un PDF manipulado que lleva una imagen JPEG 2000 con factores de submuestreo que no coinciden. NVD muestra una puntuación Critical (crítica) de 9.8 asignada por VulnCheck. Artifex incluye la corrección en su tabla de vulnerabilidades de Ghostscript y muestra 10.08.0 como la versión vigente.

El registro de WordPress, CVE-2026-65640 en NVD, dice que afecta a todas las versiones anteriores a la 7.0.4 y que la corrección se aplicó a ramas anteriores tan antiguas como la 4.7. El anuncio de WordPress 7.0.4 lo describe como una versión de seguridad y recomienda actualizar de inmediato.

La exposición depende de dos cosas a la vez, así que un archivo guardado no es lo mismo que un riesgo

WordPress ofrece vista previa de los PDF desde la versión 4.7, siempre que el servidor la soporte. El equipo central de WordPress explicó la cadena: WordPress le pide a Imagick, Imagick trabaja a través de ImageMagick, y ImageMagick le entrega el PDF a Ghostscript. Una falla en el último eslabón solo importa si un archivo llega hasta allí.

Eso le deja dos preguntas. La primera: ¿alguien puede meter un archivo en su servidor y dentro de esa cadena? En la falla de WordPress, la respuesta depende de quién tenga una cuenta de nivel Autor o superior. En la falla de Ghostscript, depende de qué formularios, complementos o integraciones pasan el archivo de un visitante para una vista previa de los PDF o una conversión.

La segunda: ¿está corregido el Ghostscript de su servidor? Esa decisión la toma su host, no usted, y es la razón de la siguiente sección.

Los investigadores de seguridad de Wordfence documentaron el problema de Ghostscript en octubre y mostraron ejecución de código en un sitio de WordPress preparado a propósito. Esa demostración muestra que el riesgo es real para un servidor configurado de esa manera. No dice que todos los sitios con un formulario estén expuestos. Un formulario que guarda un PDF y nunca lo abre no inicia esta ruta.

Una pregunta a su host le da una respuesta clara

Ghostscript suele venir con el sistema operativo o con el plan de alojamiento, no con WordPress, así que actualizar WordPress o un complemento de formularios no corrige la falla de Ghostscript. En alojamiento administrado o compartido, el host decide cuándo cambia el paquete. Envíele un mensaje breve y pida una respuesta por escrito.

Pegue estas tres preguntas en su mensaje:

• ¿El paquete de Ghostscript de mi servidor incluye la corrección de CVE-2026-39919?
• ¿Qué revisión del paquete está instalada, y el servicio se reinició o el servidor se volvió a desplegar desde la actualización?
• ¿La vista previa de los PDF o el procesamiento de imágenes de mi sitio llama a Ghostscript?

No juzgue la respuesta solo por un número de versión. Un servidor puede mostrar un número menor que 10.08.0 y aun así estar corregido, porque las distribuciones de Linux suelen copiar una corrección de seguridad en una versión anterior. Un host que no pueda decir qué revisión del paquete ejecuta todavía no ha respondido la pregunta. Si usted administra su propio servidor o contenedor, actualice el paquete o reconstruya desde una imagen base actualizada.

Nuestra publicación sobre cómo revisar su host de WordPress en busca de fallas en bibliotecas de imágenes tiene más preguntas que sirven para este caso y para la próxima vez que aparezca un titular así.

Pause o limite las subidas hasta confirmar la corrección

Si el host no puede confirmar la corrección pronto, reduzca lo que llega al servidor. El paso más seguro es dejar de aceptar PDF de visitantes hasta que le respondan. Los formularios suelen permitir cambiar los tipos de archivo aceptados en una configuración, lo que toma un minuto y se puede deshacer.

Si necesita seguir recibiendo documentos, estos pasos reducen la exposición mientras espera:

• Limite cada formulario a los tipos de archivo que realmente necesita
• Ponga un número pequeño de archivos y un tamaño máximo por envío
• Agregue un límite de frecuencia o un control de spam al formulario
• Elimine las cuentas de WordPress de nivel Autor o superior que nadie usa
• Pida al host o al desarrollador revisar la política de seguridad de ImageMagick, que permite a un administrador desactivar formatos específicos como PDF

Ese último paso detiene por completo la vista previa de los PDF, así que pruebe sus formularios después. Revisar que un archivo termine en .pdf solo indica que el archivo dice ser un PDF; no sustituye la corrección del servidor.

Actualice WordPress y sus complementos de formularios, y luego pruebe una subida

Abra el Dashboard (Escritorio) de WordPress, vaya a Updates (Actualizaciones) e instale la versión vigente de WordPress. El anuncio de la 7.0.4 señala que solo la versión más reciente de WordPress recibe soporte activo, así que mantenerse al día es la forma de recibir correcciones como esta sin tener que buscar una corrección aplicada a una versión anterior. Haga una copia de seguridad antes, para poder volver a la versión que funcionaba si algo entra en conflicto.

Luego actualice los complementos que manejan sus subidas. Un complemento de formularios que acepta archivos puede tener sus propias fallas, separadas de Ghostscript. Si usa Ninja Forms con el complemento File Uploads, nuestra publicación sobre la vulnerabilidad de Ninja Forms muestra cómo revisar cada versión.

Por último, envíe una prueba. Mande un PDF inofensivo a través de cada formulario desde un teléfono y desde una computadora, y confirme que llegue el correo de notificación y que el archivo se abra para su equipo. Si antes aparecía una vista previa de los PDF y ahora no, sabrá si cambió una configuración. La versión breve de esta falla, dentro de nuestra guía sobre una advertencia de vulnerabilidad de complementos de WordPress, es la versión rápida; esta página es la lista de verificación más larga.

Cuándo vale la pena pagar una revisión de seguridad

Usted puede manejar buena parte de esto por su cuenta, y la respuesta del host quizá lo resuelva. Una revisión vale su costo cuando las respuestas siguen sin estar claras después de preguntar. Estas son las señales que apuntan en esa dirección:

• Varios proveedores tocan el sitio y nadie sabe quién parchea qué
• El sitio corre en un servidor o contenedor que usted administra, no en un host que maneja las actualizaciones
• Usted recibe documentos sensibles, como archivos financieros, médicos o legales
• Los archivos se reenvían a un CRM, a una mesa de ayuda o a un convertidor
• Su host no puede decir qué paquete de Ghostscript ejecuta

Atienda también a las señales de un problema que ya ocurrió: cuentas de administrador que no reconoce, archivos en la carpeta de subidas que nadie agregó, o páginas que cambiaron solas. Si ve alguna, siga los pasos de qué hacer en las primeras 24 horas después de un hackeo antes que cualquier otra cosa.

Si prefiere que alguien más se encargue de las actualizaciones de servidor y de complementos, mantenimiento de sitios web cubre esa rutina, para que un titular como este se convierta en una revisión breve y no en una carrera de última hora.

Un sitio sin complementos que parchear tiene una lista más corta

Algunos dueños leen un titular de seguridad como este y prefieren cargar con menos piezas. Web Leveling construye sitios sin complementos de terceros, con el código y las cuentas a nombre del dueño. Un formulario en ese tipo de sitio puede diseñarse para aceptar solo los tipos de archivo que usted indique, en el tamaño que usted defina.

Eso le da menos componentes que vigilar y menos actualizaciones de complementos que perseguir. No elimina la necesidad de parchear el servidor, y un sitio que recibe archivos sigue necesitando un host que mantenga su software al día. Si su sitio actual funciona y su host responde la pregunta de arriba, no necesita rehacerlo por un solo registro CVE. Elija según cuánto mantenimiento quiere cargar.

Preguntas frecuentes sobre la vulnerabilidad de Ghostscript en las subidas de PDF a WordPress

¿Puede un PDF hackear mi sitio web?

Un PDF manipulado puede explotar una copia de Ghostscript sin corregir si el archivo le llega. Para eso hace falta una vía de subida y un software en el servidor que abra el archivo. Un PDF que queda almacenado sin abrirse no lo inicia.

¿Actualizar WordPress corrige la falla de Ghostscript?

No. Ghostscript es un software de servidor, así que la corrección de CVE-2026-39919 llega por medio de su host o de quien administre el servidor. Actualizar WordPress sí corrige la falla separada del núcleo, CVE-2026-65640, en la versión 7.0.4 y posteriores.

¿Cuál versión de Ghostscript está corregida?

Artifex incluye la corrección en Ghostscript 10.08.0, publicado el 8 de septiembre de 2026. Algunos hosts incluyen la corrección en un paquete con un número de versión anterior, así que pida la revisión del paquete y no solo la versión.

¿Mi formulario de currículum o de cotización me pone en riesgo?

Sí, si después el archivo se muestra en vista previa, se convierte en miniatura o se convierte con un software que llama a Ghostscript en un servidor sin la corrección. Haga la lista de sus formularios y pregúntele a su host. Un formulario que solo guarda el archivo no inicia esa ruta.

¿Quién puede subir archivos que lleguen a la falla de WordPress?

El registro de NVD dice que un usuario con la capacidad upload_files, de nivel Autor o superior. Revise quién tiene esas cuentas y elimine las que no necesite.

¿Es seguro desactivar la vista previa de los PDF?

Sí es seguro, y elimina una ruta hacia Ghostscript. Se pierde la imagen de vista previa, así que pruebe sus formularios después y compruebe que su equipo sigue pudiendo abrir los archivos.

Para terminar

Dos fallas separadas están detrás de este titular. Una está en Ghostscript y se corrige en la versión 10.08.0 o en un paquete equivalente del host. La otra estaba en el núcleo de WordPress y se corrigió en la 7.0.4 el 12 de agosto de 2026. Su sitio solo está en la ruta si un archivo puede llegar al servidor y abrirse allí.

Su lista es corta: haga la lista de los formularios que reciben archivos, pregunte una cosa a su host, actualice WordPress y sus complementos de formularios, y pause las subidas de PDF de visitantes hasta que alguien confirme la corrección de Ghostscript. Hecho en ese orden, el riesgo baja rápido, y sabrá exactamente qué revisar la próxima vez que aparezca un titular así.

Si quiere una segunda opinión sobre sus formularios y su servidor, Web Leveling puede hacer una auditoría de seguridad del sitio web que rastrea cada subida desde el formulario hasta el servidor y le dice qué hay que cambiar. Contáctenos para conversarlo en términos sencillos. Trabajamos con pequeñas y medianas empresas de todo el país y del extranjero.

Términos