- ひとことでAdobe Acrobat と Reader で、細工した PDF を開くとコードを実行される弱点です。
- 深刻度8.6 重要CVSS v3.1
- まずやることAcrobat Reader DC を 26.001.21411 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2026-34621 |
|---|---|
| 製品 | Adobe Acrobat and Reader |
| 深刻度（CVSS） | 8.6 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-04-13 |
| 米国政府機関の対応期限 | 2026-04-27 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-1321（プロトタイプ汚染） |
何が起きた
PDF を読み書きするソフト Adobe Acrobat と Reader に、プロトタイプ汚染という種類の弱点が見つかり、実際に悪用が確認されています。悪用されると、ソフトを使っている人の権限で任意のコード（攻撃者が好きに選べる命令）が実行されるおそれがあります。NVD に登録された Adobe の評価では、攻撃は対象のパソコン上で行われるもので、ログインは不要ですが、利用者が悪意のあるファイルを開く操作が必要です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Acrobat DC と Acrobat Reader DC の 26.001.21367 以前、Acrobat 2024 の 24.001.30356 以前を使っている人が影響を受けます。
何をすればいい
Adobe の勧告 APSB26-43 に従って、Acrobat DC と Acrobat Reader DC は 26.001.21411 以降、Acrobat 2024 は Windows 版が 24.001.30362 以降、Mac 版が 24.001.30360 以降に更新してください。Adobe も、この弱点が実際に悪用されていることを把握しています。
やることチェックリスト
- Acrobat Reader DC を 26.001.21411 以降に更新する
- Acrobat 2024 を修正版に更新する
- 知らない相手からの PDF を開かないようにする
用語メモ
- プロトタイプ汚染
- JavaScript の部品の元になる設定を外から書き換えられてしまう弱点の種類です。
- Acrobat Reader DC
- Adobe が無料で配っている PDF の閲覧用ソフトです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Adobe Acrobat and Reader Prototype Pollution Vulnerability
概要
Adobe Acrobat and Reader contain a prototype pollution vulnerability that allows for arbitrary code execution.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る