PDF işleme yazılımı Ghostscript, ciddi güvenlik deliğiyle karşı karşıya

Close-up of a piano keyboard in black and white — Zulfugar Karimov / Unsplash

Güvenlik araştırmacıları, PDF ve PostScript işlemlerini gerçekleştiren Ghostscript yazılımında, zararlı kodun yürütülmesi ve yetki yükselmesi gibi birden fazla ciddi güvenlik deliği ortaya çıktığını açıkladı. Bunlar, 2026 yılının Eylül ayında yayınlanan bir güncellemede giderilmiştir.

Ghostscript, PDF ve PostScript dosyalarını işlemek için kullanılan bir yazılım paketidir. 10.08.0 sürümünden önceki sürümlerde, bir yığın barimanı aşırı geçirme (heap overflow) zafiyeti olan CVE-2026-39919 ve Windows sürümünde yetki yükselmesi olan CVE-2026-19547 gibi iki önemli güvenlik sorununa rastlantı olarak maruz kalmıştır.

CVE-2026-39919, JPEG 2000 görüntü dosyalarının işlenmesinde ortaya çıkar. Görüntü bileşenleri arasında farklı çözünürlükler ve 8 bitten düşük örnekleme hassasiyeti olduğunda, tahsis edilen bellek bölgesinden aşırı veri yazılması meydana gelir ve bellek bozulması oluşur. Bu durum, özel bir PDF dosyasını işletmekle yetki kazanmak için zararlı kodun çalıştırılmasını mümkün kılar.

CVE-2026-19547 ise Windows ortamında PostScript kaynak dosyalarının arama işlemi sırasında ortaya çıkar. Yetkili bir yerel kullanıcı, belirli bir klasöre zararlı bir dosya yerleştirerek, başka bir kullanıcı veya hizmet tarafından Ghostscript başlatıldığında, bu süreçteki yetki seviyesinde istemci kodunun yürütülmesi potansiyel olarak mümkün hâle gelir.

Bu iki güvenlik sorunu, ortak zafiyet değerlendirme sisteminde (CVSS) yüksek risk seviyeleriyle işaretlenmiştir. CVE-2026-39919, CVSSv3.1'de 9.8 ve CVSSv4.0'de 9.3 puan alarak "Kritik" (Critical) kategorisinde yer alır. CVE-2026-19547 ise CVSSv4.0'de 7.0 puan alarak "Yüksek" (High) seviyesinde değerlendirilmiştir.

Bu haber, güvenlik dünyasında dikkat çekilen bir dizi güncelleme ve düzeltmeyi de özetlemektedir. GitLab, kritik zafiyetler dahil olmak üzere 24 düzeltme gerçekleştirmiş; NetScaler ADC/Gateway ürünlerinde ciddi bir RCE (Uzak Kod Çalıştırma) deliği tespit edilmiştir. IBM DataPower Gateway, çeşitli güvenlik zafiyetleriyle karşı karşıya kalmıştır. Nessus gibi güvenlik taraması araçlarında birden fazla zafiyet rapor edilmiştir. Splunk Enterprise, Apache Struts ve BIND gibi popüler yazılımlarda yeni güvenlik delikleri eklenmiştir. Ayrıca, Cisco NX-OS, HPE ağ erişim kontrolü ve Dell konteyner depolama ürünleri gibi alanlarda ciddi sorunlar tespit edilmiştir. Bu durum, yazılım geliştiricileri ve sistem yöneticileri için acil bir uyarı olarak öne çıkar.

Güvenlik araştırmacıları, bu tür zafiyetlerin sistem bütünlüğüne ve veri güvenliği üzerinde olası etkilerini vurgulamaktadır. Çözüm yolunda kullanıcıların yazılım sürümlerini güncel tutmaları ve güvenlik bültenlerini takip etmeleri önerilmektedir.

Bu gelişmeler, yazılım güvenliği ve veri koruma konularında artan farkındalık yaratmak amacıyla yayınlanmaktadır.