Uma vulnerabilidade crítica na Pillow, uma ferramenta de processamento de imagem popular da linguagem de programação Python, permite que invasores assumam o controle de servidores na internet. O ataque é disparado quando o sistema tenta processar um arquivo renomeado para incluir comandos maliciosos. A brecha atinge o formato EPS, comumente usado para arquivos vetoriais e ilustrações no design gráfico. O problema surge da falta de validação no Pillow, que repassa o nome de documento diretamente ao programa auxiliar Ghostscript sem verificar se o texto traz instruções invasoras.

A equipe responsável pelo software confirmou, em documentação oficial, a gravidade da situação: “A falha é acionada pelo nome do arquivo, e não por qualquer elemento dentro do documento PostScript”, declararam os programadores que cuidam do projeto, em comunicado de segurança publicado no GitHub. A declaração reforça que até mesmo uma imagem inofensiva pode causar estragos caso o nome do arquivo seja definido por um invasor.

A versão atualizada também corrige um defeito na criação de miniaturas, as versões reduzidas de imagens usadas para pré-visualização na web. Essa falha específica, identificada como CVE-2026-112403, faz o servidor travar ao tentar redimensionar fotos em formato JPEG. “Esta consulta foi encontrada pela Anthropic com o uso do Claude para estudar a segurança de softwares de código aberto, com validação manual pela Ada Logics”, pontuou o analista David Korczynski, no boletim técnico publicado no GitHub.

Atualização do sistema e medidas de proteção

Outro ponto corrigido na atualização envolve uma brecha registrada como CVE-2026-112393, presente no código do programa desde 2013. Ela acontece quando o sistema tenta salvar uma foto comprimida diretamente na memória temporária do servidor em vez de gravar no disco rígido, uma prática comum em sites que tratam imagens enviadas por usuários antes de exibi-las na tela.

A orientação principal para os profissionais de tecnologia que gerenciam esses servidores é a atualização imediata para o Pillow 13.0.0, conforme informado nas notas de lançamento e disponível para download no repositório PyPI. A nova versão do software removeu o suporte a versões mais antigas do Python, o que exige a atualização de toda a base do sistema.

Enquanto a atualização não é aplicada, as diretrizes de segurança do Pillow recomendam desinstalar o programa Ghostscript dos servidores que recebem arquivos públicos. Os mantenedores do projeto pedem ainda que os sistemas evitem criar miniaturas de fotos enviadas por desconhecidos e não processem imagens diretamente na memória temporária do computador.

Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.