WordPress publicó la versión 7.0.4 para corregir una vulnerabilidad de ejecución remota de código, registrada como CVE-2026-65640, que podría ser explotada por usuarios autenticados con permisos de Author o superiores mediante archivos que contienen PostScript y que se procesan a través de Imagick y Ghostscript.
Por qué importa: la falla permite que contenidos incrustados en archivos supuestamente gráficos se ejecuten como programas PostScript, lo que convierte una imagen subida por un colaborador en una vía de ejecución remota cuando el servidor usa Imagick y Ghostscript.
Lo esencial
- CVE-2026-65640 tiene una puntuación CVSS de 8.8 y permite ejecución remota de código con un usuario Author o superior.
- La explotación requiere que la instalación use la extensión Imagick y Ghostscript y que el atacante pueda subir archivos.
- WordPress lanzó 7.0.4 y backporteó la corrección a ramas hasta la 4.7; la reparación valida el contenido antes de pasar archivos a Imagick.
CVE-2026-65640 explota PostScript dentro de imágenes
La vulnerabilidad se aprovecha cuando un archivo con extensión de imagen contiene código PostScript embebido. ImageMagick, a través de la extensión Imagick, detecta el contenido y delega la representación a Ghostscript, que interpreta PostScript como programa.
Patchstack y el aviso de WordPress explican que esa discrepancia entre la comprobación por extensión y la inspección por contenido permitió que una PNG con PostScript se ejecute como PostScript cuando ImageMagick la procesa.
Mecanismo técnico: de la extensión a Ghostscript
WordPress pasaba archivos a Imagick basándose en la extensión del fichero, mientras que ImageMagick inspecciona el contenido y, al hallar PostScript, invoca Ghostscript. Esa cadena de llamadas fue la raíz del riesgo, según la investigación publicada.
Además, WordPress tenía funciones de comprobación de contenido, pero Patchstack señala que algunos métodos de subida no activaban esas comprobaciones, abrindo la vía de explotación para usuarios con permiso de subida.
