Adobe、Acrobat／Readerのゼロデイ 脆弱性(CVE-2026-34621)を緊急 修正

2026年4月11日、AdobeはセキュリティアドバイザリAPSB26-43を公開し、Adobe Acrobat・ReaderのCritical脆弱性CVE-2026-34621に対する修正パッチを提供しました。CVSSベーススコアは9.6（Critical）、脆弱性の分類はPrototype Pollution（CWE-1321）で、Adobeはすでに野放しの悪用事例（Exploited in the Wild）があることを認めています。

脆弱性の概要

この脆弱性は、サンドボックス型エクスプロイト検知システムEXPMONの創設者・Haifei Liが2026年3月末に発見したものです。悪意のあるPDFファイルを開くだけで——ユーザーによる追加操作なしに——システム情報の収集・ファイル窃取・外部サーバーへのデータ送信が自動的に完結します。セキュリティ研究者の分析では、少なくとも2025年11月末から4ヶ月以上にわたって実際の攻撃に使用されていたことが判明しており、ほとんどのアンチウイルス製品では検知されていませんでした。

影響を受けるバージョンと修正バージョン

Adobeが示した影響バージョンと修正済みバージョンは以下のとおりです。現在使用しているバージョンを確認し、該当する場合は直ちにアップデートを行ってください。

アップデートの手順：Adobe Acrobat / Reader を起動し、「ヘルプ」→「アップデートを確認」を選択することで最新版を適用できます。自動更新が有効な環境では、更新検知時に自動的に適用されます。IT管理者が管理する環境では、AIP-GPO・SCUP/SCCMなどの既存の展開方法を使用してください。

発見の経緯：EXPMONが「検知の深度」機能で捕捉

2026年3月26日、匿名のユーザーが「yummy_adobe_exploit_uwu.pdf」というファイル名のPDFをEXPMON Publicに提出しました。EXPMONのAdobe Reader向け高度検知機能（”detection in depth”）がこのサンプルを不審として自動フラグし、手動解析のトリガーとなりました。

同サンプルはVirusTotalにも2026年3月23日時点で登録されており、当初の検知率はわずか5/64でした。一般的なアンチウイルス製品ではほぼ無害なファイルとして通過していた状態です。Haifei Liが手動解析に着手した結果、極めて高度な実装であることが判明しました。

さらに2026年4月8日、セキュリティ研究者Greg Lesnewich（@greglesnewich）が別のC2アドレス（188.214.34.20:34123）を使用した第2亜種を発見。この亜種のVirusTotalへの初回提出日が2025年11月28日であることから、このキャンペーンは少なくとも4ヶ月以上にわたって検知を回避しながら継続していたことが裏付けられました。

関連記事：Adobeのゼロデイ 脆弱性を悪用したサイバー攻撃の兆候

攻撃チェーンの技術詳細

研究者N3mes1sによる詳細なフォレンジック分析を含む複数の調査から、攻撃は以下の3段階で実行されることが明らかになっています。

Stage 1：ローダー起動（PDFを開いた瞬間に自動実行）

JSFuck難読化されたJavaScriptがPDF内の隠しフォームフィールド（btn1）からbase64デコードされた大量のコードを読み込みます。PDFを開いた瞬間にトリガーされ、ユーザーによる追加操作は一切不要です。500ミリ秒の遅延が実装されており、これはサンドボックス型検知システムの回避を目的としています。

Stage 2：フィンガープリンティングと情報送信

Adobe Reader JavaScriptのutil.readFileIntoStream() APIを悪用し、ntdll.dllをバイナリ解析してOSの正確なバージョンを抽出します。収集する情報は以下のとおりです。

• OSバージョン（ntdll.dllのバイナリ解析による詳細特定）
• Adobe Readerのバージョン
• システムの言語設定
• プラットフォーム情報
• インストール済みアンチウイルスソフト
• PDFファイルのパス

収集した情報はすべてRSS.addFeed() APIを使ってC2サーバーに送信されます。通信時のUser-Agentは「Mozilla/3.0 (compatible; Adobe Synchronizer 23.8.20533)」に偽装されており、正規のAdobeプロセスによる通信を装います。研究者Haifei Liの検証実験では、system32ディレクトリ内のPNGファイルを読み取って外部サーバーに送信することにも成功しており、後続のRCEがなくても単独でファイル窃取が完結することが実証されています。

Stage 3：条件付き後続攻撃ペイロードの配信

C2サーバーは標的の条件が揃った場合のみAES-CTR暗号化・zlib圧縮されたJavaScriptペイロードを返送します。このサーバー側フィルタリングにより、分析環境（サンドボックス）には//（空のJSコメント）のみが返され、実際の標的にだけ追加ペイロードが配信される設計です。後続攻撃はRCE（遠隔コード実行）またはSBX（サンドボックス脱出）へと進む可能性があります。

研究者N3mes1sのフォレンジック分析では、v1（プロトタイプ）とv2（本番）の2バージョンの比較を通じ、攻撃者がコードの難読化強化・対象OSの絞り込み（Windows 7サポート削除）・インフラのローテーションを継続的に実施していることが確認されています。C2サーバーのログにAdobe Reader v25.x向けと思われる/s12エンドポイントが存在することから、v3の開発が進行中である可能性も指摘されています。

標的プロファイル：ロシア語話者・石油ガス産業を狙ったAPT攻撃

研究者Gi7w0rmの分析により、攻撃で使用されたデコイPDFがロシア語で書かれており、ロシアの石油・ガス産業に関する内容であることが明らかになっています。確認された2つのサンプルのデコイ内容は以下のとおりです。

PDFのメタデータはいずれも/Lang (en-US)と設定され、作成ツールはPyMuPDF（Pythonライブラリ）、タイトルは「Blank Page」と意図的に匿名化されています。N3mes1sはこれを「国家関与またはプロのAPTグループによる高精度スパイ活動」と評しています。

なお、石油・ガスインフラを標的とした高度なサイバー攻撃は、2026年の中東情勢の緊迫化とも文脈が重なります。ロシアのエネルギー企業を対象としたスパイ活動キャンペーンが、より広範な地政学的文脈の中で展開されている可能性も否定できません。

IOC（侵害指標）一覧

以下のIOCをファイアウォール・EDR・プロキシに登録し、検知・ブロックすることを推奨します。

対策と推奨事項

【最優先】公式パッチの即時適用

最も確実かつ重要な対策は、Adobeが提供する公式パッチの即時適用です。Priority 1（最高優先度）に分類されており、Adobeはすべてのユーザーに対して最新バージョンへの更新を強く推奨しています。

ネットワーク監視

パッチ適用前の暫定措置、またはパッチ適用後の侵害検知として、以下のネットワーク監視ルールの設定が有効です。Adobeプロセス（Acrobat.exe、AcroRd32.exe）からの外部通信のうち、User-Agentに「Adobe Synchronizer」を含むHTTPリクエストをAdobe公式サーバー以外への送信として検知・ブロックしてください。URLパラメータに&od=422974または&od=319988を含むリクエストもアラート対象に設定することを推奨します。

エンドポイント保護

Adobeプロセスからのntdll.dll・bootsvc.dllへの異常なファイルアクセスを検知するEDRルールを追加してください。レジストリキーHKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Adobe Reader Synchronizerの生成を監視し、AdobeCollabSync.exeが外部ネットワーク接続を行う挙動をアラートとして設定することも推奨します。

ユーザー教育

送信者が不明または心当たりのないPDFファイルを開かないよう、全社的な周知を行ってください。特にファイル名が請求書・契約書・業務文書を装っている場合は警戒が必要です。本エクスプロイトはPDFを開くだけで被害が発生するため、添付ファイルの取り扱いに関する教育が重要です。

MITRE ATT&CKマッピング

まとめ

CVE-2026-34621は、PDFを開くだけで攻撃が完結するという危険性の高さ、4ヶ月以上にわたる検知回避、国家関与が疑われるAPTレベルの実装精度を持つ、極めて深刻なゼロデイ脆弱性でした。2026年4月11日にAdobeが公式パッチを公開したことで修正手段が提供されましたが、サーバーログに残るv3開発の兆候、使い捨てC2インフラのローテーション、継続的なコード改善といった状況から、攻撃者グループが活動を継続している可能性は否定できません。

Adobe Acrobat・Readerをご利用のすべての組織は、修正済みバージョンへの更新を最優先事項として対応するとともに、本記事のIOCと検知ルールを活用した継続的なモニタリングを実施してください。

公式・ベンダー情報

• Adobe：Security update available for Adobe Acrobat Reader | APSB26-43（2026年4月11日）

関連記事

Adobeのゼロデイ 脆弱性を悪用したサイバー攻撃の兆候 ハッカーが日本の富裕層リストを装いゴルフ用品 購入者の個人情報を販売 エプスタインの情報漏洩と関連する日本人のまとめ-エプスタイン文書では松本 大氏や伊藤 穰一氏、林 千晶氏のアテンド記録も CapCutの危険性とは-新利用規約で浮き彫りになる「著作権放棄」のリスク ハッカーがPHPの脆弱性を悪用し、日本を標的にサイバー攻撃を実行(CVE-2024-4577) 日本医科大武蔵小杉病院、ランサムウェアによるサイバー攻撃で個人情報漏洩の恐れ-ハッカーが犯行声明 EDRSilencerがエンドポイントセキュリティを回避する手段に悪用 Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト マネックス証券 創業者 松本 大 氏、エプスタイン文書への名前記載について「やましいことは一点もない」

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)