アドビ（Adobe）は、WindowsおよびmacOSプラットフォームで使用されるAdobe AcrobatおよびReaderにおいて、深刻な脆弱性「CVE-2026-34621」が攻撃者によって悪用されていることを正式に認めました。この脆弱性は、悪意のあるPDFドキュメントを開くだけで任意のコードを実行することを可能にし、ユーザーの追加の操作を必要としません。アドビは、ユーザーに対してセキュリティアップデートを72時間以内にインストールするよう呼びかけています。
脆弱性の詳細
アドビの優先度1（Priority 1）の定義によれば、これは「現在攻撃の対象となっている脆弱性、または攻撃対象になるリスクが比較的に高い脆弱性を解決する」ものであり、システム管理者によって直ちに適用されることが推奨されています。具体的には、以下の製品が影響を受けます。
- Acrobat DC
- Acrobat Reader DC
- Acrobat 2024
ゼロデイ攻撃の現状
最近の報告によると、アドビリーダーに存在するゼロデイ脆弱性が、少なくとも2025年12月以降、脅威アクターによって悪用されていることが確認されました。セキュリティ研究者のハイフェイ・リーは、攻撃者がアドビリーダーの未修正のゼロデイ脆弱性を利用して、Acrobatの特権的なAPIを実行できることを警告しています。この攻撃は、PDFファイルを開くだけで発動し、ユーザーの操作を必要としないため、非常に危険です。
攻撃の手法
別のセキュリティ研究者は、この攻撃がアドビリーダーのJavaScriptエンジンの一部を悪用している可能性があると指摘しています。これまでに確認された攻撃に使用された文書には、ロシア語の文言が含まれており、ロシアの石油・ガス業界に関連する時事問題に言及していることが報告されています。
アドビの対応
アドビは、脆弱性に対処するためのセキュリティ情報（APSB26-43）を公開し、WindowsおよびmacOS向けのAdobe AcrobatおよびReaderのアップデートを提供しています。ソフトウェアの手動アップデートは、「ヘルプ」メニューの「アップデートの確認」から実行できます。また、アドビによれば、アップデートが検出された場合、ソフトウェアは自動的にアップデートされるとのことです。
結論
この脆弱性は、アドビのPDF文書が悪用されることが多い中で、特に危険なゼロデイ攻撃であるため、ユーザーは速やかにアップデートを行うことが重要です。セキュリティの確保のために、定期的なソフトウェアの更新を心がけましょう。
 |  |