Anthropic usa IA para descobrir falha presente desde 2013 na biblioteca Pillow do Python

Uma vulnerabilidade crítica na biblioteca Pillow, amplamente utilizada para processamento de imagens em Python, pode permitir que invasores executem comandos no sistema operacional de servidores por meio de nomes de arquivos manipulados. A falha, identificada como CVE-2026-112900, recebeu pontuação 9,2 no sistema CVSS e foi corrigida na versão 13.0.0, lançada em 16 de outubro de 2026.

O problema está no processamento de imagens EPS (Encapsulated PostScript). Para abrir esses arquivos, o Pillow utiliza o Ghostscript, uma ferramenta externa responsável por converter documentos gráficos em imagens. Entretanto, a biblioteca encaminhava nomes de arquivos ao programa sem a validação adequada, permitindo que entradas manipuladas fossem interpretadas como instruções.

Segundo o alerta de segurança, a exploração depende do nome do arquivo, e não do conteúdo da imagem. Isso significa que até um arquivo EPS legítimo pode representar um risco caso o invasor consiga controlar seu nome durante o processamento.

A vulnerabilidade afeta as versões do Pillow de 2.6.0 até 12.3.0, mas sua exploração exige que o Ghostscript esteja instalado no servidor e que o atacante consiga manipular o nome do arquivo utilizado pela aplicação.

Biblioteca registra 436 milhões de downloads mensais

O Pillow está presente em aplicações web, sistemas de upload de imagens, ferramentas de criação de miniaturas, processamento de documentos e PDFs, além de projetos de inteligência artificial e aprendizado de máquina.

Segundo a OX Security, empresa que destacou as vulnerabilidades em seu relatório, a biblioteca registra aproximadamente 436 milhões de downloads mensais, demonstrando sua ampla utilização no ecossistema Python.

Embora os responsáveis pelo Pillow tenham classificado a CVE-2026-112900 como moderada devido às condições necessárias para exploração, o registro CVE atribuído pelo GitHub apresenta pontuação crítica de 9,2.

Até o momento, não há evidências conhecidas de exploração ativa das vulnerabilidades corrigidas nesta atualização.

Outras falhas críticas afetam JPEG e TIFF

A versão 13.0.0 também corrige vulnerabilidades adicionais, incluindo problemas de corrupção de memória, reutilização de dados antigos após alterações no modo de imagem e estouros de buffer durante o processamento de arquivos JPEG e TIFF.

Uma das falhas envolve o formato FlashPix (FPX) e pode permitir a execução de comandos maliciosos quando uma aplicação utiliza a função Image.open() para processar um arquivo especialmente preparado. A exploração depende da presença do pacote opcional olefile.

Como o Pillow identifica esses arquivos pelo conteúdo, e não apenas pela extensão, aplicações que processam uploads não confiáveis podem ser afetadas sem necessidade de interação adicional do usuário.

Outra vulnerabilidade, identificada como CVE-2026-112403, provoca um estouro de buffer durante a geração de miniaturas de imagens JPEG sem perdas. O problema pode causar o encerramento inesperado do processo, mas o alerta não confirma execução de código.

Essa falha foi descoberta pela Anthropic utilizando o Claude para analisar a segurança de softwares de código aberto, com validação manual realizada pela Ada Logics.

Uma terceira vulnerabilidade, CVE-2026-112393, está presente no Pillow desde 2013 e afeta operações que salvam imagens TIFF comprimidas diretamente na memória, utilizando recursos como io.BytesIO.

Os pesquisadores conseguiram provocar falhas no processo e demonstraram execução de código ao combinar a vulnerabilidade com outro problema que permitia revelar endereços de memória. O salvamento de arquivos TIFF diretamente no disco não é afetado.

Os registros CVE das vulnerabilidades relacionadas a EPS, TIFF e miniaturas JPEG apresentam pontuação 9,2, embora as condições de exploração sejam diferentes. A CISA também registra a existência de uma prova de conceito pública para a falha em TIFF.

Atualização para Pillow 13.0.0 corrige vulnerabilidades

A recomendação é atualizar a biblioteca para a versão 13.0.0 e reconstruir contêineres, pacotes e imagens-base que ainda incluam versões vulneráveis.

A atualização pode ser realizada com o comando:

pip install -U "Pillow>=13.0.0"

A nova versão não oferece suporte ao Python 3.10, exigindo que ambientes nessa versão migrem para o Python 3.11 ou posterior.

Enquanto a atualização não estiver disponível, os mantenedores recomendam remover o Ghostscript de servidores que processam uploads não confiáveis, impedir o uso de nomes de arquivos EPS controlados por usuários e adotar precauções nas operações de miniaturas JPEG e processamento de TIFF em memória.

Para imagens JPEG não confiáveis, as alternativas incluem evitar determinadas chamadas a draft() e thumbnail(), carregar previamente os dados com load() ou utilizar reducing_gap=None, conforme o fluxo de processamento.

As correções abrangem diferentes caminhos de exploração em uma biblioteca amplamente integrada a aplicações Python, especialmente serviços que recebem, convertem e armazenam imagens enviadas por usuários.