Adobeのゼロデイ脆弱性を悪用したサイバー攻撃の兆候|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年04月13日更新日時: 2026年04月13日

2026年4月、サンドボックス型エクスプロイト検知システム「EXPMON」の創設者である研究者Haifei Liが、Adobe ReaderのJavaScriptエンジンに存在する未パッチのゼロデイ脆弱性を悪用した高度なPDFエクスプロイトを公開しました。このエクスプロイトはPDFを開くだけで（ユーザーによる追加操作なし）自動実行され、システム情報収集・ファイル窃取・C2サーバーへのデータ送信を行います。さらに、後続の遠隔コード実行（RCE）やサンドボックス脱出（SBX）型サイバー攻撃への足掛かりとなる設計が確認されています。

修正されました：Adobe、Acrobat／Readerのゼロデイ脆弱性(CVE-2026-34621)を緊急修正

1 検出の経緯：EXPMONが「検知の深度」機能で捕捉
2 攻撃チェーンの詳細：3段階で標的を狙い撃ち
3 第2亜種を発見：研究者Greg Lesnewich、N3mes1sによる分析
4 標的プロファイル：ロシア語・石油ガス産業がキーワード
5 IOC（侵害指標）一覧
6 防御・検出推奨事項
7 MITRE ATT&CKマッピング（主要技術）
8 まとめ
9 よくある質問（FAQ）

検出の経緯：EXPMONが「検知の深度」機能で捕捉

2026年3月26日、匿名のユーザーが「yummy_adobe_exploit_uwu.pdf」というファイル名のPDFをEXPMON Publicに提出しました。EXPMONのAdobe Reader向け高度検知機能（”detection in depth”）がこのサンプルを不審として自動フラグし、手動解析のトリガーとなりました。

同サンプルはVirusTotalにも2026年3月23日時点で登録されており、当初の検知率は5/64と非常に低く、一般的なアンチウイルス製品ではほぼスルーされていました。Haifei Liが手動解析に着手した結果、「wow」と形容するほどの高度な実装が判明します。

攻撃チェーンの詳細：3段階で標的を狙い撃ち

研究者N3mes1sによる詳細フォレンジック分析を含む複数の調査結果から、攻撃は以下の3段階で実行されることが明らかになっています。

フェーズ	内容
Stage 1 ローダー起動	JSFuck難読化されたJavaScriptがPDF内の隠しフォームフィールド（btn1）からbase64デコードされた大量のコードを読み込み、500ミリ秒の遅延後（サンドボックス回避）に実行。PDFを開いた瞬間に自動トリガーされ、ユーザー操作は不要。
Stage 2 フィンガープリンティング	util.readFileIntoStream() APIを悪用してntdll.dllをバイナリ解析し、OSの正確なバージョンを抽出。言語設定、Adobe Readerバージョン、プラットフォーム、アンチウイルスソフト、PDFファイルパスなどを収集。これらをすべてRSS.addFeed() APIを使ってC2サーバーに送信。
Stage 3 後続攻撃（条件付き）	C2サーバーがAES-CTR暗号化＋zlib圧縮されたJavaScriptペイロードを返送。標的の条件が揃った場合のみ追加ペイロードを配信するサーバー側フィルタリングを実装。RCEまたはサンドボックス脱出（SBX）へと進む可能性あり。サンドボックス環境には`//`（空のJSコメント）を返すのみ。

Haifei Liは自前サーバーでの検証実験で、C2から返されたJavaScriptが実際にAdobe Reader上で実行されることを確認。また、system32ディレクトリ内のPNGファイルを読み取って外部サーバーに送信することにも成功しており、後続RCEがなくても単独でファイル窃取が完結することが実証されました。

第2亜種を発見：研究者Greg Lesnewich、N3mes1sによる分析

2026年4月8日、セキュリティ研究者Greg Lesnewich（@greglesnewich）が新たな亜種を発見。EXPMONブログにも追記されたこの亜種は、別のC2アドレス（188.214.34.20:34123）を使用しており、VirusTotalへの初回提出日は2025年11月28日であることが判明しました。これはこのキャンペーンが少なくとも4ヶ月以上にわたって継続していたことを意味します。

研究者N3mes1sはGitHubに詳細なフォレンジックレポートを公開。v1（プロトタイプ）とv2（本番）の2バージョンの比較を通じ、攻撃者がコードの難読化強化、対象OSの絞り込み（Windows 7サポート削除）、インフラのローテーションを継続的に実施していることが示されました。さらに、C2サーバーのログにAdobe Reader v25.x向けと思われる`/s12`エンドポイントが存在することから、v3の開発が進行中である可能性が指摘されています。

標的プロファイル：ロシア語・石油ガス産業がキーワード

研究者Gi7w0rmの分析により、悪用されたデコイPDFはロシア語で書かれており、内容はロシアの石油・ガス産業に関する現在の出来事に言及していることが明らかになりました。N3mes1sのフォレンジック分析では、2つのサンプルの具体的なデコイ内容を以下のように特定しています。

サンプル	デコイ文書の内容	推定標的
Sample 1 (54077a5b)	ガス供給障害対応手順、作業員安全リスク、地方自治体との協力、市民への通知など（ロシア語）	エネルギー企業・重要インフラ運用者
Sample 2 (65dca34b)	モスクワ住所入りの組織間合意書・契約書（ロシア語）	ロシア語話者の政府機関・民間組織

PDFのメタデータはいずれも`/Lang (en-US)`と設定されており、作成ツールはPyMuPDF（Pythonライブラリ）。タイトルは「Blank Page」と意図的に匿名化されています。N3mes1sはこれを「国家関与またはプロのAPT（持続的標的型攻撃）グループによる高精度スパイ活動」と評しています。

IOC（侵害指標）一覧

種別	値	備考
C2 IPアドレス	169.40.2.68:45191	v1サンプル（ラトビア、VEESP）
C2 IPアドレス	188.214.34.20:34123	v2サンプル（キプロス、EDIS GmbH）
ドメイン	ado-read-parser.com zx.ado-read-parser.com	2025年2月6日登録、VirusTotal検知0/94
User-Agent	Mozilla/3.0 (compatible; Adobe Synchronizer 23.8.20533)	Adobeプロセスに偽装
SHA-256 (v1)	54077a5b15638e354fa02318623775b7 a1cc0e8c21e59bcbab333035369e377f	Invoice540.pdf（VT 6/77）
SHA-256 (v2)	65dca34b04416f9a113f09718cbe51e1 1fd58e7287b7863e37f393ed4d25dde7	EXPMONで検出されたサンプル（VT 5/64）
レジストリ	HKCU\…\Run\Adobe Reader Synchronizer	永続化メカニズム（AdobeCollabSync.exe）
キャンペーンID	422974（v1）／319988（v2）	C2 URLパラメータ &od= に含まれる

防御・検出推奨事項

ネットワーク監視

Adobeプロセス（Acrobat.exe、AcroRd32.exe）からの外部通信のうち、User-Agentに「Adobe Synchronizer」を含むHTTPリクエストをAdobe公式サーバー以外への送信として検知・ブロックすることが最も効果的です。URLパラメータに`&od=422974`または`&od=319988`を含むリクエストもアラート対象にすべきです。

エンドポイント保護

Adobeプロセスからのntdll.dllやbootsvc.dllへの異常なファイルアクセスを検知するルールを追加してください。また、レジストリキー`HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Adobe Reader Synchronizer`の生成を監視し、AdobeCollabSync.exeが外部ネットワーク接続を行う挙動をアラートとして設定することを推奨します。

ユーザー教育・運用上の対策

Adobe公式パッチのリリースまでの間、以下の対応が推奨されます。

送信者不明・心当たりのないPDFファイルを開かない（ファイル名が請求書・契約書を装っている場合は特に注意）
Adobe Readerを使用する業務PCにおいてAdobe ReaderのJavaScript実行を無効化する（環境依存）
知られているC2 IPアドレスとドメインをファイアウォールおよびプロキシでブロックする
Adobe公式のセキュリティアドバイザリを継続的に確認し、パッチ公開後は即時適用する

MITRE ATT&CKマッピング（主要技術）

ID	技術名	本事例での実装
T1203	クライアント実行のための脆弱性悪用	PDF/JSゼロデイエクスプロイト
T1059.007	JavaScript実行	多重難読化（JSFuck＋obfuscator.io）
T1082	システム情報収集	OS、Reader版、AV状態、言語等の収集
T1005	ローカルシステムデータ窃取	ntdll.dllをはじめとするシステムファイル読み取り
T1573	暗号化チャネル	AES-CTR暗号化C2通信
T1547.001	レジストリRun Key永続化	AdobeCollabSync.exeによる自動起動登録
T1497	仮想化・サンドボックス回避	サーバー側フィルタリング＋500ms遅延
T1036	偽装	Adobe Synchronizerを模したUser-Agent

まとめ

今回公開されたAdobe Readerのゼロデイエクスプロイトは、最新バージョンを含む全バージョンのAdobe Readerに対して有効であり、ユーザーが何も操作しなくてもPDFを開くだけで攻撃が完結する点で極めて危険性が高いと言えます。EXPMONの高度な検知機能によって表面化するまで4ヶ月以上にわたって検知を回避しており、標準的なアンチウイルス製品ではほぼ対処できません。

攻撃者はコードの継続的な改善、インフラのローテーション、サーバー側でのサンドボックス検知を組み合わせており、国家関与またはAPTレベルの能力と計画性を示しています。Adobeへの通知は行われており、公式パッチのリリースが待たれますが、それまでの間はネットワーク監視・エンドポイント検知ルールの整備と、不審なPDFの取り扱いに関するユーザー教育が急務です。

ご提示いただいた「Adobe Readerの未パッチゼロデイ脆弱性（EXPMON発見）」に関する解説記事をもとに、検索ユーザーの疑問に直接答え、SEO効果を高めるための「FAQ」と「FAQPage構造化データ（JSON-LD）」を作成しました。

この記事を読む読者（企業のセキュリティ担当者や情シス）が最も知りたいであろう「自分たちは危険なのか？」「どう防げばいいのか？」という点にフォーカスしたQ&Aにしています。

よくある質問（FAQ）

Q. このAdobe Readerのゼロデイ脆弱性は、ファイルを開くだけで感染しますか？

A. はい。このエクスプロイトはPDFを開いた瞬間に自動的にトリガー（実行）されるように設計されており、ユーザーがリンクをクリックしたり、マクロの実行を許可したりといった追加の操作は一切不要です。そのため極めて危険性が高い状態です。

Q. 一般的なアンチウイルスソフト（セキュリティ対策ソフト）で防げますか？

A. 現時点では防ぐのが非常に困難です。VirusTotalでの初期の検知率は5/64と極めて低く、高度な難読化（JSFuck等）とサンドボックス回避機能が実装されているため、標準的なアンチウイルス製品では無害なファイルとしてスルーされる可能性が高いです。

Q. Adobeから公式の修正パッチは提供されていますか？（今すぐできる対策は？）

A. 2026年4月現在、未パッチのゼロデイ脆弱性であり、公式パッチはリリースされていません（Adobeへは通知済み）。パッチが提供されるまでの暫定的な対策として、本記事のIOC（侵害指標）をファイアウォールやEDRに登録し、Adobeプロセス（Acrobat.exe等）からの不審な外部通信（User-Agentに「Adobe Synchronizer」を含む等）を監視・ブロックすること、および環境が許す場合はAdobe ReaderのJavaScript実行を無効化することが推奨されます。

参考・出典