Falha crítica no Python coloca servidores em risco de invasão

Uma vulnerabilidade grave descoberta na Pillow, famosa ferramenta de manipulação de imagens da linguagem de programação Python, deixa servidores conectados à internet vulneráveis a invasões e ao controle total por parte de criminosos.

O vetor de ataque é ativado no momento em que o sistema operacional tenta ler um documento que teve o nome alterado estrategicamente para carregar códigos maliciosos. O problema afeta diretamente o formato EPS, amplamente empregado em ilustrações e arquivos vetoriais no setor de design gráfico. A raiz da falha está na ausência de validação dentro da biblioteca Pillow, que acaba repassando o título do documento de maneira direta para o programa auxiliar Ghostscript, sem qualquer checagem para impedir instruções invasoras.

Gravidade e outras falhas corrigidas

Os desenvolvedores do software confirmaram o cenário de risco em sua documentação oficial. “A falha é acionada pelo nome do arquivo, e não por qualquer elemento dentro do documento PostScript”, declararam os programadores que cuidam do projeto, em comunicado de segurança publicado no GitHub. O aviso destaca que até mesmo um arquivo de imagem totalmente inofensivo pode provocar danos severos caso o seu nome seja definido maliciosamente por um atacante.

O pacote de atualizações lançado também resolve uma falha no processo de criação de miniaturas, as imagens reduzidas empregadas na pré-visualização web. Registrado sob o código CVE-2026-112403, este problema específico faz o servidor crashar ao tentar redimensionar arquivos JPEG.

“Esta consulta foi encontrada pela Anthropic com o uso do Claude para estudar a segurança de softwares de código aberto, com validação manual pela Ada Logics”, pontuou o analista David Korczynski, no boletim técnico publicado no GitHub.

Outro ponto solucionado no pacote envolve uma brecha catalogada como CVE-2026-112393, que estava presente no código da ferramenta desde o ano de 2013. O erro ocorre quando o sistema tenta salvar uma foto compactada direto na memória temporária da máquina, em vez de gravar no disco rígido — procedimento recorrente em plataformas web que manipulam fotos enviadas por usuários.

Como proteger os servidores

A recomendação central para administradores de sistemas e equipes de tecnologia é realizar o upgrade imediato para o Pillow 13.0.0, versão já liberada nas notas de lançamento e disponível para obtenção no repositório PyPI. Cabe ressaltar que esta nova edição encerrou o suporte a versões legadas do Python, exigindo que o ambiente tecnológico seja atualizado por completo.

Enquanto a instalação do patch não é executada nos ambientes de produção, as diretrizes de segurança da biblioteca aconselham a remoção do programa Ghostscript dos servidores que aceitam arquivos de terceiros. Os mantenedores também orientam que os sistemas evitem gerar miniaturas de fotos enviadas por usuários desconhecidos e suspendam o processamento de imagens diretamente na memória volátil das máquinas.