Critical Flaw in Python’s Popular Pillow Image Library Allows Code Execution via a Crafted Image

Pillow, la librería de imágenes más utilizada para el lenguaje de programación Python, puede ser manipulada para ejecutar comandos del sistema operativo en un servidor. El fallo, identificado como CVE-2026-112900, ocurre en la forma en que la librería maneja imágenes de tipo EPS. Al abrir estos archivos, Pillow utiliza un programa externo llamado Ghostscript para convertirlos en píxeles, pero lo hace sin verificar primero el nombre del archivo.

Un atacante puede elegir un nombre de archivo que el sistema interprete como instrucciones en lugar de como un simple nombre, permitiendo apuntar a un segundo archivo que contenga comandos maliciosos. Los mantenedores de Pillow ya corrigieron este problema en la versión 13.0.0, lanzada el 16 de octubre. Esta librería es fundamental en casi cualquier proceso de Python que maneje imágenes, como formularios de carga en sitios web, herramientas de avatares o proyectos de inteligencia artificial.

Además del fallo en archivos EPS, se reportaron otras vulnerabilidades críticas. Una afecta la decodificación de imágenes JPEG (formato FlashPix), donde un archivo diseñado específicamente puede ejecutar comandos. Otra, la CVE-2026-112403, causa el cierre inesperado de programas al intentar crear miniaturas de archivos JPEG sin pérdida. Finalmente, la CVE-2026-112393 permite la ejecución de código al guardar imágenes TIFF comprimidas directamente en la memoria del servidor.

Para solucionar estos riesgos, es necesario actualizar Pillow a la versión 13.0.0 o superior. Tenga en cuenta que esta nueva versión requiere Python 3.11 o más reciente, por lo que si su sistema usa Python 3.10, primero deberá actualizar el lenguaje. Si no puede actualizar de inmediato, se recomienda no procesar archivos EPS en servidores que acepten cargas de usuarios desconocidos y evitar el uso de funciones de creación de miniaturas en archivos JPEG no confiables.

Qué significa para una pyme colombiana y cucuteña: Si su empresa tiene un sitio web, una aplicación propia o utiliza software desarrollado en Python que permita a los clientes subir fotos (perfiles, productos, facturas), usted podría estar en riesgo. La acción inmediata es pedirle a su equipo de sistemas o al proveedor de su software que actualice la librería 'Pillow' a la versión 13.0.0. Si su sistema es antiguo y usa Python 3.10, asegúrese de que la actualización también incluya el salto a Python 3.11 para que el parche funcione.