En bref

  • CVE-2026-34621 (CVSS 8.6) : vulnérabilité zero-day de type Prototype Pollution dans Adobe Acrobat Reader, exploitée activement depuis décembre 2025
  • Versions affectées : Acrobat DC et Reader DC jusqu'à 26.001.21367, Acrobat 2024 jusqu'à 24.001.30356
  • Action urgente : mettre à jour vers Acrobat DC 26.001.21411 ou Acrobat 2024 24.001.30362 immédiatement

Les faits

Adobe a publié le 9 avril 2026 un correctif d'urgence pour la vulnérabilité CVE-2026-34621, une faille zero-day de type Prototype Pollution (CWE-1321) dans Adobe Acrobat Reader. Cette vulnérabilité, initialement évaluée à un score CVSS de 9.6, a été révisée à 8.6 après ajustement du vecteur d'attaque de réseau à local. Elle permet l'exécution de code arbitraire dans le contexte de l'utilisateur courant via un fichier PDF malveillant spécialement conçu.

La découverte est attribuée au chercheur en sécurité Haifei Li, fondateur du système de détection d'exploits EXPMON. L'exploitation active de cette faille remonte à décembre 2025, soit plus de quatre mois avant la publication du correctif. Les documents PDF malveillants observés contiennent des leurres en langue russe liés au secteur pétrolier et gazier, suggérant des opérations de cyberespionnage ciblées.

Le mécanisme d'attaque repose sur du JavaScript obfusqué qui s'exécute automatiquement à l'ouverture du PDF, sans interaction supplémentaire de l'utilisateur au-delà de la simple visualisation du fichier. Le script collecte des informations système (langue, version OS, version d'Adobe Reader, chemin local du fichier) et les exfiltre vers un serveur de commande et contrôle, selon l'advisory Adobe APSB26-26.

Impact et exposition

Toute organisation utilisant Adobe Acrobat Reader en version non corrigée est potentiellement exposée. La surface d'attaque est considérable : Adobe Reader est déployé sur des centaines de millions de postes dans le monde. L'exploitation ne nécessite aucun privilège particulier et se déclenche à la simple ouverture d'un fichier PDF, un vecteur d'attaque particulièrement efficace en environnement professionnel où les échanges de documents PDF sont quotidiens.

L'exploitation confirmée dans la nature depuis décembre 2025 indique que des campagnes d'attaque actives ciblent déjà des organisations. Le script malveillant est capable de télécharger et d'exécuter des charges utiles supplémentaires, incluant potentiellement des exploits d'évasion de sandbox, ce qui aggrave considérablement le risque de compromission complète du poste.

Recommandations immédiates

  • Appliquer immédiatement la mise à jour : Acrobat DC vers 26.001.21411, Acrobat 2024 vers 24.001.30362 (Windows) ou 24.001.30360 (macOS) — advisory Adobe APSB26-26
  • Désactiver l'exécution JavaScript dans Adobe Reader (Édition → Préférences → JavaScript → décocher « Activer Acrobat JavaScript ») comme mesure de mitigation temporaire
  • Bloquer les pièces jointes PDF provenant de sources non vérifiées au niveau de la passerelle de messagerie
  • Rechercher dans les logs réseau des connexions sortantes suspectes depuis des processus Adobe Reader
  • Vérifier la présence de fichiers PDF récents contenant du JavaScript intégré sur les postes utilisateurs

⚠️ Urgence

Cette vulnérabilité est exploitée activement depuis plus de quatre mois. Chaque jour sans correctif représente une fenêtre d'exposition aux campagnes de cyberespionnage en cours. La mise à jour doit être déployée en priorité absolue sur tous les postes disposant d'Adobe Acrobat Reader.

Comment savoir si je suis vulnérable ?

Ouvrez Adobe Acrobat Reader, puis allez dans Aide → À propos. Si votre version est inférieure à 26.001.21411 (Acrobat DC) ou 24.001.30362 (Acrobat 2024), vous êtes vulnérable. Vous pouvez aussi vérifier en ligne de commande sous Windows : recherchez le fichier AcroRd32.exe ou Acrobat.exe et vérifiez ses propriétés de version. Sous macOS, utilisez la commande mdls pour inspecter la version de l'application.

Quels sont les indicateurs de compromission à surveiller ?

Surveillez les connexions réseau sortantes initiées par les processus Adobe Reader vers des adresses IP inconnues. Recherchez des fichiers PDF contenant du JavaScript obfusqué dans les répertoires temporaires. Les leurres observés utilisent des thématiques liées au secteur pétrolier et gazier en langue russe, mais d'autres variantes sont possibles.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit