Seit Dienstag warnt das CERT-Bund vor Angriffen auf CVE-2026-39919, eine kritische Lücke in Ghostscript mit dem Schweregrad 9.8. Ein präpariertes PDF genügt, um Code auf dem verarbeitenden System auszuführen.
Betroffen ist laut Meldung alles vor Version 10.08.0.
Auf unserem Server läuft Version 9.55.0.
Und trotzdem ist er nicht betroffen
Das steht im Änderungsprotokoll des installierten Pakets:
ghostscript (9.55.0~dfsg1-0ubuntu5.14) jammy-security
* SECURITY UPDATE: heap overflow in JPEG 2000 output adapter
- debian/patches/CVE-2026-39919.patch
- CVE-2026-39919
-- Marc Deslauriers, Fri, 18 Sep 2026
Der Fix ist seit dem 18. September eingespielt. Die Versionsnummer lautet trotzdem weiterhin 9.55.0.
Warum das kein Fehler ist
Linux-Distributionen springen nicht auf jede neue Programmversion. Ein Sprung von Ghostscript 9.55 auf 10.08 brächte drei Jahre Änderungen mit, neue Funktionen, geändertes Verhalten, möglicherweise Unverträglichkeiten mit allem, was darauf aufbaut. Auf einem Server, der läuft, ist das keine gute Idee.
Stattdessen tun Ubuntu, Debian und Red Hat etwas anderes: Sie nehmen nur die Sicherheitskorrektur und bauen sie in die alte Version ein. Das heisst Rückportierung.
Sichtbar wird das allein an der Paketrevision — hier ist sie von 5.13 auf 5.14 gestiegen. Die Versionsnummer davor, die 9.55.0, bleibt für die gesamte Lebensdauer der Distribution gleich.
Die Folge für jeden, der Meldungen liest
Sie lesen «betroffen sind Versionen vor 10.08.0», tippen den Befehl zur Versionsabfrage, sehen 9.55.0 — und ziehen den falschen Schluss.
Das ist das Gegenstück zum Patchday dieser Woche: Dort war eine Zahl das Problem, die niemand bewerten kann — hier ist es eine Zahl, die das Falsche sagt.
Zwei Reaktionen sind dann typisch, und beide sind schlecht.
Die erste ist Panik. Ein Betrieb hält sich für angreifbar, obwohl er es nicht ist, und beginnt eine Notfallübung, die niemand braucht.
Die zweite ist schlimmer. Jemand lädt die aktuelle Version von der Herstellerseite und installiert sie am Paketmanager vorbei. Danach existieren zwei Installationen nebeneinander, die alte bekommt weiterhin Sicherheitsupdates, die neue nicht, und welche von beiden tatsächlich benutzt wird, weiss niemand genau. Der Betrieb hat sich ein Problem eingehandelt, das er vorher nicht hatte.
Wie man es richtig prüft
Nicht die Programmversion vergleichen, sondern die Paketversion. Unter Debian und Ubuntu:
dpkg --list ghostscript
apt-get --simulate install --only-upgrade ghostscript
Die zweite Zeile probiert ein Update, ohne es auszuführen. Steht dort «is already the newest version», ist alles eingespielt, was die Distribution anbietet.
Oder gleich im Änderungsprotokoll nachsehen. Dort steht die CVE-Nummer wörtlich:
zgrep CVE-2026-39919 /usr/share/doc/ghostscript/changelog.Debian.gz
Das ist die ehrlichste Antwort, die ein System geben kann: Entweder die Nummer steht drin oder nicht.
Unter Red Hat, Alma und Rocky leistet dasselbe:
rpm -q --changelog ghostscript
Die Voraussetzung, die oft fehlt
Rückportierung ist kein Naturgesetz. Sie gilt nur, solange die Distributionsversion unterstützt wird.
Wer ein System fährt, dessen Support ausgelaufen ist, bekommt diese Korrekturen nicht mehr — und für den stimmt die Versionsnummer dann wieder. Nur eben in die unangenehme Richtung.
Das ist der eigentliche Grund, warum das Supportende eines Betriebssystems wichtiger ist als jede einzelne Lücke: Es entscheidet darüber, ob die stillen Reparaturen im Hintergrund weiterlaufen.
Und es nützt nichts, wenn die Updates zwar bereitstehen, aber nie angewendet werden — ein Muster, das wir im September bei uns selbst gefunden haben.
Was uns an der eigenen Messung überrascht hat
Niemand bei uns hat Ghostscript installiert.
Es ist auf dem Server, weil ImageMagick es als Abhängigkeit mitbringt — und ImageMagick ist da, weil irgendwann jemand Bilder umwandeln wollte. Die Abfrage, wer das Paket braucht, nennt libmagickcore, imagemagick und netpbm.
Das ist der Normalfall. Ghostscript steckt in Drucklösungen, PDF-Konvertern, Dokumentenverwaltungen, Faxgateways und praktisch jeder Webanwendung, die Rechnungen oder Lieferscheine erzeugt. Kaum jemand würde auf die Frage «benutzen Sie Ghostscript?» mit Ja antworten — und läge damit fast immer falsch.
Genau deshalb trifft eine solche Meldung mehr Systeme, als die Betreiber vermuten.
Was heute zu tun ist
Wenn Sie Server selbst betreiben: die Updates einspielen und mit einem der Befehle oben nachsehen, ob die CVE-Nummer im Protokoll steht.
Wenn jemand anderes die Server betreibt: Die Frage lautet nicht «haben Sie Ghostscript aktualisiert», sondern «läuft das System noch im Support der Distribution». Darauf gibt es eine kurze Antwort, und sie sagt mehr als jede Versionsnummer.
Und wenn Sie bei uns hosten: Das ist eingespielt, seit dem 18. September.