Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt im Warn- und Informationsdienst (WID) seit dem 12. Oktober 2026 die Meldung WID-SEC-2026-3777 mit der Einstufung „[UPDATE] [hoch]“: Eine Ghostscript-Schwachstelle ermöglicht einem entfernten, anonymen Angreifer die Ausführung beliebigen Programmcodes. Betroffen sind Systeme, die Ghostscript einsetzen und aus dem Netz erreichbar sind — praktisch also vor allem Server, die eingehende PDF- oder PostScript-Dateien verarbeiten. Eine CVE-Nummer, ein CVSS-Score sowie betroffene und korrigierte Versionen sind für dieses Advisory nicht belegt; der Volltext der Meldung ließ sich über die abgerufene Quelle nicht auslesen.
Ghostscript-Schwachstelle: belegte Fakten und offene Lücken
Belegt ist wenig — aber belastbar. Die Meldung trägt den Titel „[UPDATE] [hoch] Ghostscript: Schwachstelle ermöglicht Codeausführung“, die Kurzbeschreibung lautet: „Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Ghostscript ausnutzen, um beliebigen Programmcode auszuführen.“ Die Einstufung „hoch“ kommt vom BSI, nicht vom Hersteller — und sie ist kein CVSS-Wert.
Dass die Meldung tatsächlich geführt wird, lässt sich in der Liste der aktuellen technischen Sicherheitshinweise nachvollziehen: Dort steht sie mit Datum 12.10.2026, identischem Titel und identischer Einstufung. Der WID wird von CERT-Bund betrieben; die Advisories richten sich in erster Linie an die Bundesverwaltung, während die Kurzinformationen über das WID-Portal auch für Unternehmen, KRITIS-Betreiber, CERTs und Privatanwender per RSS abrufbar sind.
Zwei Angaben sind trotz der dünnen Faktenlage aussagekräftig. „Entfernt“ heißt: Der Angriff läuft über das Netz, nicht lokal. „Anonym“ heißt: Der Angreifer braucht keine Zugangsdaten. Gemeinsam beschreiben sie eine nicht authentifizierte Codeausführung aus der Ferne — die Klasse von Lücken, die Betreiber exponierter Dienste zuerst behandeln sollten.
CVE, CVSS und Versionen: was derzeit offen ist
Das Advisory liefert in den verfügbaren Auszügen keine CVE-ID. Damit ist auch keine Zuordnung zu bekannten Ghostscript-Lücken möglich. Die CVE-Übersicht des Herstellers listet Schwachstellen nach fixender Version: Als in 10.08.0 behoben sind dort CVE-2026-19547 und CVE-2026-39919 aufgeführt, ältere Fix-Versionen reichen bis 9.55.0 zurück. Diese Einträge dürfen aber nicht mit WID-SEC-2026-3777 verknüpft werden — die Übersicht enthält keinen Hinweis auf das BSI-Advisory. Wer die Liste als Prüfpfad nutzt, sollte sie nicht mit einer Zuordnung verwechseln.
Ähnlich verhält es sich beim Score. Ein Vergleichs-Advisory des WID zu Composer-Schwachstellen zeigt, wie eine solche Meldung normalerweise aufgebaut ist: CVSS Base 8.8, Temporal 7.7, „Remoteangriff: ja“. Diese Werte gehören zum Composer-Advisory und sind nicht auf Ghostscript übertragbar. Für die Ghostscript-Meldung ist kein CVSS-Wert belegt — weder Base noch Temporal.
Offen bleibt auch, was das „UPDATE“ geändert hat. Möglich sind eine neue CVE-Nummer, eine angepasste Kritikalität oder eine ergänzte Fix-Version; belegt ist davon nichts. Hinweise auf einen öffentlichen Proof-of-Concept oder auf aktive Ausnutzung finden sich in den vorliegenden Quellen nicht, und das BSI ordnet die Meldung in den verfügbaren Auszügen auch nicht als „Ausnutzung bekannt“ ein.
Warum Ghostscript in PDF-Pipelines ein Risiko ist
Ghostscript ist ein Interpreter für PostScript und PDF und steckt selten allein in der ersten Reihe: Es läuft als Abhängigkeit in Dokumentenkonvertern, Druck- und Faxdiensten, Bildverarbeitungsketten und in Backends, die hochgeladene Dateien in andere Formate umwandeln. Solche Pipelines nehmen Eingaben von außen an — und sind damit präzise die Konstellation, die ein „entfernter, anonymer“ Angriff adressiert.
Für Betreiber zählt weniger der Produktname als der Verarbeitungsweg: Wo landet eine unbekannte Datei, und welche Rechte haben die Prozesse anschließend? Läuft Ghostscript innerhalb eines Dienstes, der im Netz erreichbar ist, ist die Lücke nicht nur ein Patch-, sondern ein Isolations-Thema. Läuft es nur lokal im Batchbetrieb hinter einer Warteschlange, sinkt die praktische Ausnutzbarkeit, auch wenn die Einstufung „hoch“ bleibt.
Handlungsempfehlungen: Prüfpfad statt Versionsraten
Solange CVE und Fix-Version offen sind, wäre jede Versionsempfehlung geraten. Sinnvoll ist ein Prüfpfad in drei Schritten.
1. Bestand aufnehmen
Zuerst gilt es zu klären, wo Ghostscript überhaupt läuft — nicht nur als eigenständiges Paket, sondern als Abhängigkeit in Anwendungen, die PDF oder PostScript rendern. In Linux-Distributionen ist Ghostscript häufig als Systempaket gebündelt; ob dort bereits Sicherheitsupdates bereitstehen, ist im Rahmen dieser Meldung nicht belegt. Der Paketstand der eingesetzten Distribution ist deshalb separat zu prüfen.
2. Beide Quellen verfolgen
Das BSI-Advisory liefert den Status, die Herstellerübersicht die Fix-Zuordnung. Beide sollten parallel verfolgt werden: Update-Meldungen des BSI können CVE, Versionen und Workarounds nachliefern, die in der Erstfassung fehlen. Ändert sich die Einstufung oder kommen Referenzen hinzu, ist das der belastbarere Indikator als der Titel allein.
3. Angriffsfläche begrenzen
Unabhängig vom Patchstand gilt: Ghostscript sollte nicht mit Rechten laufen, die einen vollständigen Systemzugriff erlauben. Wo möglich, gehören solche Verarbeitungsprozesse in isolierte Umgebungen ohne unnötigen Netz- und Dateisystemzugriff. Prozesse, die fremde Dokumente interpretieren, sind per Definition angreifbare Oberfläche.
Fazit
Die Ghostscript-Schwachstelle aus WID-SEC-2026-3777 ist als „hoch“ eingestuft, anonym aus der Ferne ausnutzbar und damit für exponierte Dokumentenpipelines ein ernstzunehmender Fall — auch ohne bekannte CVE-Nummer. Genau diese Lücke in der Informationslage ist der eigentliche Handlungsauftrag an Admins: Bestand aufnehmen, Advisory und Herstellerübersicht beobachten, Angriffsfläche reduzieren. Wer den Paketstand jetzt prüft statt zu raten, ist vorbereitet, sobald das BSI die Details nachliefert.