ghostscript'te kritik açık var, pdf yüklemelerine dikkat edin

arkadaşlar, şimdi size kötü bir haber vereceğim. ghostscript denen pdf işleme aracında CVE-2026-39919 adında kritik bir açık bulunmuş. kısacası, biri size özel hazırlanmış bir pdf dosyası gönderirse, o dosya sayesinde sunucunuza uzaktan kod çalıştırabiliyor (RCE denen bela). yani dosya yükleme işlemini kullanan sistemler için ciddi ciddi risk var.

ne olmuş yani?

ghostscript, pdf’leri işlemek için kullanılan bir araç. çok sayıda sistem buna bağlı: web uygulamaları, print serverları, belge dönüştürme araçları, hatta imagemagick gibi şeyler bile ghostscript’i kullanıyor. işte bu açık, ghostscript’in hafıza işlemesinde bir hata (heap buffer overflow denen tampon taşması) var.

spoiler: saldırgan özel bir pdf dosyası hazırlayıp, bu dosya ghostscript tarafından işlendiğinde, hafızada bir taşma yaratıyor ve kendi kodunu çalıştırabiliyor. yani sunucuyu tamamen ele geçirebiliyor. edit: bu açık aktif olarak sömürülüyor, acele edin.

teknik detaylar (çok önemli)

kimin işi düşüyor?

yapmanız gerekenler (acil):

1. Ghostscript’i güncelleyin:

# Ubuntu/Debian sistemlerde
sudo apt update
sudo apt install --only-upgrade ghostscript

# RHEL/CentOS sistemlerde
sudo yum update ghostscript

# macOS'ta (homebrew ile)
brew upgrade ghostscript

2. ImageMagick kullananlar:

ghostscript’e bağlıysa, imagemag’i de güncelleyin:

# Ubuntu/Debian
sudo apt update
sudo apt install --only-upgrade imagemagick

# RHEL/CentOS
sudo yum update imagemagick

3. Versiyonu kontrol edin:

# ghostscript versiyonunu öğrenin
gs --version

# imagemagick versiyonunu öğrenin
identify -version

dikkat: en son versiyona geçiş yapın, lütfen. eski sürümlerde bu açık var.

geçici çözümler (hemen yamalayamayan sistemler için)

eğer hemen update atamıyorsanız (test ortamında denemeniz lazım tabii), şu önlemleri alın:

1. PDF yüklemeleri devre dışı bırakın:

# nginx'te pdf upload'ını engelle
location /upload {
    if ($request_filename ~* \.pdf$) {
        return 403;
    }
}

2. Ghostscript’i sandbox’ta çalıştırın:

# Docker ile izole ortamda çalıştırın
docker run --rm -v /path/to/pdf:/input ghostscript:latest \
  gs -dQUIET -dSAFER -dBATCH -dNOPAUSE -sOutputFile=output.pdf /input/input.pdf

3. Dosya tipi doğrulaması yapın:

# pdf dosyasının gerçek bir pdf olduğunu kontrol edin
file -b --mime-type uploaded_file.pdf

# magic bytes kontrol edin (pdf her zaman %PDF ile başlar)
head -c 4 uploaded_file.pdf | od -c

4. Ağ seviyesinde:

• pdf işleme hizmetlerini ayrı bir sunucuya taşıyın
• bu sunucuya sadece iç ağdan erişim sağlayın
• web sunucusundan direkt erişim engelleyin

kim etkileniyor?

• web uygulamaları (dosya yükleme özelliği olanlar)
• document management sistemleri
• print serverları
• pdf dönüştürme hizmetleri
• belge işleme uygulamaları
• imagemagick kullanan sistemler

yani kısacası, pdf ile uğraşan hemen hemen her şey.

niye bu kadar ciddi?

1. kimlik doğrulama yok: dosyayı yüklemek için login falan gerekmiyor
2. sıfır tıklama: kullanıcı dosyayı açmak zorunda değil, sistemin işlemesi yeterli
3. tam kontrol: saldırgan sunucuda istediğini yapabiliyor
4. yaygın yazılım: ghostscript çok sayıda sistem tarafından kullanılıyor

spoiler: bu açık zaten sömürülüyor. cisa de eklemiş kataloğuna. acele edin.

kontrol listesi:

• ghostscript versiyonunu kontrol ettim
• imagemagick versiyonunu kontrol ettim (kullanıyorsam)
• yedek aldım
• test ortamında güncelleyi test ettim
• production’da güncelleyi uyguladım
• pdf yükleme işlevlerini kontrol ettim
• logları izledim (şüpheli pdf işlemeleri)

kaynaklar:

• BleepingComputer - Ghostscript flaw
• CVE-2026-39919 - NVD
• Ghostscript Resmi Sitesi
• CISA Alerts

edit: bir kaç sistem yöneticisi sordu, ghostscript’i kaldırabilir miyiz diye. cevap: eğer pdf işlemeniz yoksa, evet kaldırabilirsiniz. ama imagemagick veya başka araçlar kullananlar dikkat, bağımlılıkları kontrol edin.

edit 2: windows’ta print spooler’ı da kontrol edin, eğer ghostscript driver’ı kullanıyorsa.

Bu içerik yapay zeka tarafından oluşturulmuştur.