PT-2026-32093
CVE-2026-34621
·
تاريخ النشر
2026-04-08
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 2.0
10
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المصاب والإصدارات المتأثرة
Acrobat DC الإصدارات السابقة لـ 26.001.21411
Acrobat Reader DC الإصدارات السابقة لـ 26.001.21411
Acrobat 2024 (الإصدارات المتأثرة غير محددة)
الوصف
يوجد خلل في تعديل سمات نموذج كائن غير متحكم به بشكل صحيح، والمعروف باسم Prototype Pollution، في محرك JavaScript الخاص ببرنامجي Adobe Acrobat و Reader. يحدث هذا الخلل بسبب التعامل غير الآمن مع خصائص الكائنات في واجهات برمجة التطبيقات (APIs) المميزة، وتحديداً الدالة
util.readFileIntoStream()، مما يسمح للمهاجم بتلويث Object.prototype الأساسي وتغيير مسار تنفيذ العملية. بالإضافة إلى ذلك، تم استخدام واجهة برمجة التطبيقات RSS.addFeed() كقناة تحكم وسيطرة ثنائية الاتجاه لتسريب البيانات الحساسة — مثل المستندات المحلية، وبيانات الاعتماد، ومفاتيح SSH — واستقبال حمولات JavaScript خبيثة إضافية. تتطلب عملية الاستغلال قيام الضحية بفتح ملف PDF مصمم خصيصاً، ويمكن أن تؤدي إلى تنفيذ رمز عشوائي والسيطرة الكاملة على النظام بصلاحيات المستخدم الحالي. تم استغلال هذه الثغرة بنشاط من قبل مجموعات APT منذ ديسمبر 2025، مستهدفة حوالي 600 مليون تثبيت نشط حول العالم.التوصيات
تحديث Acrobat DC و Acrobat Reader DC إلى الإصدارات 26.001.21411 أو أحدث.
كإجراء مؤقت، قم بتعطيل JavaScript من خلال الانتقال إلى التفضيلات > JavaScript وإلغاء تحديد تفعيل JavaScript الخاص بـ Acrobat.
تقييد استخدام الدالة
util.readFileIntoStream() ومراقبة أي استدعاءات غير مصرح بها لهذه الواجهة في ملفات PDF. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾