2026年9月8日、PDF処理ソフトGhostscriptの重大な脆弱性CVE-2026-39919（CVSS 9.8）が修正されました。細工したPDF1枚でサーバー側が侵害される可能性があり、WordPressで第三者がPDFをアップロードできる設定なら今日確認が必要です。
2026年9月8日、Artifex社がGhostscript 10.08.0を公開し、深刻度9.8（10点満点）の脆弱性CVE-2026-39919を修正しました。Ghostscriptは、アップロードされたPDFからサムネイル画像を作るためにサーバー上で動く裏方のソフトで、WordPressでも間接的に使われることがあります。つまり「PDFを1枚アップロードされただけ」でサーバー側に影響が及ぶ可能性がある、という話です。
何が起きたのですか？
Wordfenceの脅威インテリジェンスチームが調査ツール「Wordfence Argus」でGhostscriptの欠陥を発見し、報告から16日後の2026年9月8日に開発元Artifexが修正版Ghostscript 10.08.0を公開しました。脆弱性の番号はCVE-2026-39919、深刻度はCVSS 9.8／10で「緊急」にあたります。
内容は、JPEG 2000形式の画像を埋め込んだ細工済みPDFを処理させると、確保したメモリ領域の外に攻撃者の意図したデータが書き込まれる、というものです（ヒープバッファオーバーフロー）。この種の欠陥は、条件が揃うとサーバー上で任意のプログラムを実行される入口になり得ます。
なぜWordPressサイトに関係するのですか？
WordPressは、メディアライブラリにPDFがアップロードされると、その1ページ目から自動でサムネイル画像を生成します。この処理は多くのサーバーでImageMagickというソフトが担当し、ImageMagickはPDFを扱うときに内部でGhostscriptを呼び出します。つまり、サイト運営者が何も操作しなくても、PDFを受け取った瞬間にGhostscriptが動く構成になっている場合があります。
危険度が上がるのは、管理者以外がファイルをアップロードできるサイトです。求人応募フォーム、見積依頼フォーム、会員の資料投稿、投稿者権限を渡している外部ライターなど、外から任意のPDFが届く経路があるサイトは、攻撃者が細工PDFを送り込む余地があります。
一方、PDFを扱うのが管理者だけで、ホスティング会社がサーバーソフトを自動更新している環境なら、実際に悪用される可能性は低いとみられます。
自分のサイトで今日どう確認すればよいですか？
管理画面だけで完結する確認と、サーバー側の確認の2つに分かれます。順番に進めてください。
- 外部からPDFが届く経路を洗い出す：WordPress管理画面の「お問い合わせ」系プラグイン（Contact Form 7、WPFormsなど）のフォーム設定を開き、ファイル添付項目があるか、許可拡張子にpdfが入っているかを確認します。
- ユーザー権限を確認する：「ユーザー」一覧を開き、寄稿者・投稿者・編集者のアカウントが必要最小限かを点検します。使っていないアカウントは削除します。
- サーバーのGhostscriptを確認する：レンタルサーバーの管理画面やサポート窓口に「Ghostscriptは10.08.0以降に更新されていますか」と問い合わせます。共用サーバーでは利用者側で更新できないため、確認と催促が実務上の対応になります。
更新を待つ間にできる備えはありますか？
サーバー側の更新を自分で実施できない場合でも、入口を狭めることで被害の可能性を下げられます。
| 対策 | やり方 |
| フォームの添付を限定 | 許可拡張子をjpg・pngのみにする、または添付欄を一時的に外す |
| PDFサムネイル生成を止める | テーマのfunctions.phpやプラグインでPDFプレビュー生成を無効化（制作会社に依頼） |
| バックアップの確認 | 直近のバックアップが取得でき、復元手順が分かる状態かを確認 |
なお、この脆弱性はWordPress本体やプラグインの問題ではないため、WordPressを最新にしても解消しません。サーバー側のソフトウェア更新が必要である点に注意してください。
中小企業は今日何をすべきか
- 問い合わせ・応募フォームの添付ファイル設定を開き、PDFを誰でも送れる状態かを今日確認する。不要なら添付欄を一時停止する。
- レンタルサーバーのサポートに「Ghostscriptを10.08.0以降へ更新済みか」をメールで1通問い合わせ、回答を記録に残す。
- ユーザー一覧で寄稿者以上の権限を持つアカウントを棚卸しし、退職者・外注先の不要アカウントを削除する。
- 判断に迷う場合は、WP守るの無料WordPress安全診断で現状の設定を確認してください。
よくある質問
WordPressを最新バージョンにすれば、この脆弱性は防げますか？
防げません。CVE-2026-39919はWordPress本体ではなくサーバー上で動くGhostscriptの欠陥です。サーバー側でGhostscript 10.08.0以降へ更新する必要があるため、レンタルサーバー会社への確認が実務上の対応になります。
PDFを公開していますが、危険ですか？
自社で作ったPDFを管理者がアップロードして公開しているだけなら、リスクは低いとみられます。危険度が上がるのは、外部の人が任意のPDFをアップロードできるフォームや投稿機能がある場合です。
うちのサーバーがGhostscriptを使っているか分かりません。
メディアライブラリにPDFをアップロードしたとき、1ページ目のサムネイル画像が自動表示されるならImageMagick経由でGhostscriptが動いている可能性が高いです。確実な判定はサーバー会社に問い合わせてください。
出典
