- Adobeが2025年12月から悪用されているAcrobat Readerのゼロデイ脆弱性にパッチを提供
- CVE-2026-34621は悪意あるPDFを介したRCEを可能にした
- ユーザーは更新が必須；回避方法はなく、ディフェンダーはトラフィックを監視するよう促された
Adobeは2025年12月からゼロデイとして悪用されていたAcrobat Readerの脆弱性の修正をリリースしました。
この脆弱性は、オブジェクトプロトタイプ属性の不適切に制御された変更バグとして説明されており、現在CVE-2026-34621として追跡されています。現在のユーザーのコンテキストでリモートコード実行（RCE）を可能にし、その悪用には被害者が悪意あるPDFファイルを開く必要があります。
これは8.6/10（高）の深刻度スコアが与えられ、複数のAcrobat Readerバージョンに影響します：
記事は下に続きます
Acrobat DCバージョン26.001.21367以前（バージョン26.001.21411で修正）
Acrobat Reader DCバージョン26.001.21367以前（バージョン26.001.21411で修正）
Acrobat 2024バージョン24.001.30356以前（Windowsではバージョン24.001.30362で、Macではバージョン24.001.30360で修正）
極めて高度な攻撃
同社は回避方法または軽減策がなく、問題を修正する唯一の方法はアプリを更新することだと述べました。これは、アプリ自体を通じて（ヘルプ – アップデートを確認メニューをナビゲートすることで）、またはAdobeの公式ウェブサイトからAcrobat Readerインストーラーをダウンロードすることで行うことができます。
セキュリティ研究者のHaifei Liは最近、「極めて高度な、フィンガープリンティング型PDFエクスプロイト」について発見して警告しました。
「このフィンガープリンティング』エクスプロイトはゼロデイ/未修正脆弱性を利用することが確認されており、Adobe Readerの最新バージョンでPDFファイルを開く以外のユーザーインタラクションを必要としません」とLiは述べました。「さらに懸念されることに、このエクスプロイトは脅威行為者がローカル情報を収集/窃取するだけでなく、その後のRCE/SBX攻撃を潜在的に開始でき、被害者のシステムを完全に制御することにつながる可能性があります。」
Gi7w0rmというエイリアスを持つアナリストからの別のレポートは、これらの攻撃で使用されているPDFおびき寄せはロシアの石油・ガス業界での進行中のイベントを参照しており、ロシア語で書かれていることから、ターゲットが誰かを示唆していると述べています。
Adobeが回避方法がないと主張している一方で、BleepingComputerはネットワークディフェンダーがUser-Agentヘッダーに「Adobe Synchronizer」文字列を持つHTTP/HTTPSトラフィックを監視およびブロックすることで攻撃を軽減できると述べました。
「広範な情報収集のためのこのゼロデイ/未修正機能と、その後のRCE/SBX悪用の可能性は、セキュリティコミュニティが高度な警戒を続けるのに十分です。これがユーザーが警戒を続けられるようにこれらの調査結果をすぐに公開することを選択した理由です」と研究者は結論付けました。
もちろん、あなたもTikTokでTechRadarをフォローして、ニュース、レビュー、ビデオ形式のアンボックスを取得し、WhatsAppからも定期的な更新を受け取ることができます。
