Wordfence: критическая уязвимость в libheif позволяет выполнять код через HEIC-фото

libheif получила обновление после обнаружения критической уязвимости

Команда Wordfence Threat Intelligence обнаружила критическую уязвимость в библиотеке libheif. Уязвимость позволяет удалённо выполнить код через специально созданное HEIC-изображение. Разработчики libheif выпустили версию 1.23.3, которая устраняет эту проблему. Эксперты оценили критичность уязвимости в 9.8 из 10 по шкале CVSS.

libheif обрабатывает HEIC-изображения для различных приложений

Библиотека libheif используется для обработки изображений в формате HEIC (High Efficiency Image File Format). Этот формат популярен благодаря высокому качеству изображений при меньшем размере файла по сравнению с JPEG. libheif применяется в операционных системах Linux, настольных программах для просмотра изображений, медиасерверах и сервисах создания миниатюр. WordPress использует libheif через расширение PHP Imagick и библиотеку ImageMagick для обработки загружаемых пользователями изображений, включая создание миниатюр и извлечение метаданных.

Уязвимость затрагивает версии libheif от 1.18.0 до 1.23.2

Уязвимость CVE-2026-XXXXX присутствует в версиях libheif с 1.18.0 по 1.23.2. Обновление до версии 1.23.3 или новее устраняет проблему. Также существует версия 1.23.4, включающая дополнительные исправления безопасности. Уязвимость может присутствовать даже в версиях, которые не указаны в диапазоне, если они были скомпилированы с включённым кодеком для несжатых изображений. Официальный Docker-образ WordPress, протестированный исследователями, оказался уязвим. Уязвимость не зависит от плагинов WordPress и требует обновления системной библиотеки.

Обновиться до 1.23.3 или пересобрать контейнеры

Владельцам WordPress-сайтов необходимо установить обновление системной библиотеки libheif через менеджер пакетов операционной системы или хостинг-провайдера. После установки обновления следует перезапустить PHP и веб-сервисы. Пользователям контейнеризированных сред необходимо пересобрать образы из обновлённого базового образа и развернуть их заново. Если обновление невозможно, рекомендуется временно отключить загрузку файлов HEIC, HEIF, HEICS и HEIFS через настройки WordPress. Также рекомендуется проверить информацию о поддержке медиафайлов в разделе «Здоровье сайта» → «Информация» → «Обработка медиа». Владельцам управляемых хостингов следует уточнить у провайдера версию libheif и её конфигурацию.

Источник: Wordfence