Adobe תיקנה פרצת יום אפס ב-Acrobat Reader, שתוקפים ניצלו בקובצי PDF
ב-11 באפריל 2026 פרסמה Adobe עדכון ל-CVE-2026-34621, פרצת יום אפס ב-Acrobat וב-Reader שמריצה קוד מקובץ PDF. לפי החוקר, תוקפים ניצלו אותה לפחות ארבעה חודשים.
TL;DR בקצרה
- ב-11 באפריל 2026 פרסמה Adobe את עלון APSB26-43 ל-CVE-2026-34621, פרצה קריטית בציון 8.6 שמאפשרת הרצת קוד. Adobe מאשרת שהיא מנוצלת בפועל.
- החוקר Haifei Li מ-EXPMON זיהה PDF זדוני שמריץ JavaScript ברגע הפתיחה, אוסף פרטי מערכת ושולח אותם לשרת של התוקפים. לדבריו, התקיפות נמשכו לפחות ארבעה חודשים.
- התיקון נמצא בגרסאות 26.001.21411 של Acrobat DC ו-Reader DC, וב-24.001.30362 ל-Windows (24.001.30360 ל-macOS) של Acrobat 2024.
- ב-13 באפריל הוסיפה CISA את הפרצה לקטלוג הפרצות המנוצלות, עם מועד טיפול עד 27 באפריל לגופי ממשל פדרליים.
ב-11 באפריל 2026 פרסמה Adobe עדכון ל-CVE-2026-34621, פרצת יום אפס ב-Acrobat Reader שתוקפים ניצלו באמצעות קובצי PDF. לפי עלון האבטחה APSB26-43, Adobe יודעת על ניצול בפועל. הפרצה מאפשרת הרצת קוד, והחוקר Haifei Li מ-EXPMON דיווח עליה. לדבריו, התקיפות נמשכו לפחות ארבעה חודשים.
Acrobat Reader: מה עושה ה-PDF הזדוני
EXPMON היא פלטפורמה לזיהוי ניצולים בסביבה מבודדת. ב-26 במרץ 2026 היא קיבלה מסמך PDF חשוד. בתוכו יש קוד JavaScript מטושטש היטב. הקוד רץ כשהמשתמש פותח את המסמך, בלי פעולה נוספת.
הקוד אוסף את שפת המערכת, גרסת מערכת ההפעלה, גרסת Reader והנתיב המקומי של המסמך. אחר כך הוא מעביר את הנתונים לשרת של התוקפים. הוא משתמש בשתי פונקציות מורשות של Acrobat: util.readFileIntoStream קוראת קבצים שנגישים לארגז החול של Reader, ו-RSS.addFeed משמשת ערוץ להעברת מידע.
לפי Li, הקוד יכול גם להוריד ולהפעיל ניצולים נוספים, להרצת קוד או לבריחה מארגז החול. בזמן הניתוח לא הגיע אליו שום ניצול נוסף. הוא מעריך שהשרת סינן אותו לפי כתובת IP או לפי פרטי המכשיר. הניצול עבד על הגרסה העדכנית של Reader באותו זמן.
מסמכי הפיתוי היו ברוסית, ועסקו בהפסקת אספקת גז ובתגובת חירום. לפי Help Net Security, זה רומז על יעדים דוברי רוסית בממשל, באנרגיה או בתשתיות. הדוגמה הראשונה שהחוקר איתר עלתה ל-VirusTotal ב-28 בנובמבר 2025. ב-8 באפריל זיהה חוקר נוסף, Greg Lesnewich, וריאנט שני שפונה לשרת אחר.
מה כולל התיקון של Adobe ל-Acrobat Reader
Adobe מגדירה את הפרצה קריטית, עם דירוג עדיפות 1. זו פרצה מסוג prototype pollution, שמשנה תכונות של אובייקט בקוד. התוצאה האפשרית היא הרצת קוד שרירותי. ב-12 באפריל הורידה Adobe את הציון מ-9.6 ל-8.6, אחרי שהגדירה את וקטור התקיפה כמקומי ולא כרשתי.
הגרסאות הפגיעות הן Acrobat DC ו-Reader DC בערוץ Continuous עד 26.001.21367, ו-Acrobat 2024 עד 24.001.30356.
התיקון בא בגרסה 26.001.21411 של Continuous, וב-24.001.30362 ל-Windows או 24.001.30360 ל-macOS של Acrobat 2024. העדכון חל על Windows ועל macOS.
למה התוקפים אוספים מידע לפני שהם תוקפים
הקוד לא הרס שום דבר. הוא בדק תחילה את המכשיר. שלב כזה נותן לתוקפים לבחור קורבנות בעלי ערך, ולחסוך ניצולים יקרים מהמכשירים האחרים. לכן קשה להעריך את מספר הקורבנות בפועל.
PDF הוא פורמט שפותחים בלי לחשוב. עובדים שולחים ומקבלים מסמכים כאלה כל יום, ולכן קל להסוות מסמך זדוני כחשבונית או כהצעת מחיר. הפרצה גם לא דרשה פעולה מעבר לפתיחת הקובץ.
ב-13 באפריל הוסיפה CISA את CVE-2026-34621 לקטלוג הפרצות המנוצלות, עם מועד טיפול ב-27 באפריל לגופי ממשל פדרליים. הקטלוג כולל רק פרצות שמנוצלות בפועל.
מה זה אומר עבורכם
- עדכנו בהקדם: ב-Acrobat או ב-Reader בחרו Help ואז Check for Updates. הגרסה הנכונה בערוץ Continuous היא 26.001.21411 ומעלה.
- בארגון: פיזרו את העדכון בכלי הניהול. בדקו גם Acrobat 2024 בגרסה 24.001.30362 ל-Windows.
- עד העדכון: אל תפתחו PDF ממקור שאינו מוכר. Li ממליץ גם לחסום תנועה עם המחרוזת Adobe Synchronizer בשדה User-Agent.
- לצוותי אבטחה: חפשו קריאות של AdobeCollabSync.exe לכתובות חיצוניות, וחסמו את 169.40.2.68 ואת 188.214.34.20.
- חפשו אחורה: הדוגמה המוקדמת עלתה ל-VirusTotal בנובמבר 2025, ולכן בדקו יומני רשת של חודשים אחדים.
מקורות והרחבה
- APSB26-43: Security update available for Adobe Acrobat and ReaderAdobe
- Hackers exploiting Acrobat Reader zero-day flaw since DecemberBleepingComputer
- Acrobat Reader zero-day exploited in the wild for many months (CVE-2026-34621)Help Net Security
- Hackers are exploiting Adobe Reader zero-day flaw to steal dataCyberInsider
- CISA Known Exploited Vulnerabilities catalog (CVE-2026-34621: added 2026-04-13, due 2026-04-27)CISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
