CVE-2026-34621

Nome do Software Vulnerável e Versões Afetadas Acrobat DC versões anteriores a 26.001.21411 Acrobat Reader DC versões anteriores a 26.001.21411 Acrobat 2024 (versões afetadas não especificadas)

Descrição Uma Modificação Imprópria Controlada de Atributos de Protótipo de Objeto, conhecida como Prototype Pollution, existe no mecanismo JavaScript do Adobe Acrobat e Reader. Esta falha ocorre devido ao manuseio inseguro de propriedades de objeto em APIs privilegiadas, especificamente a função util.readFileIntoStream(), que permite a um invasor poluir o Object.prototype base e redirecionar o fluxo de execução do processo. Além disso, a API RSS.addFeed() foi reaproveitada como um canal de comando e controle bidirecional para exfiltrar dados sensíveis — como documentos locais, credenciais e chaves SSH — e receber payloads adicionais de JavaScript malicioso. A exploração requer que a vítima abra um arquivo PDF especialmente criado e pode levar à execução de código arbitrário e ao controle total do sistema com os privilégios do usuário atual. Este problema tem sido explorado ativamente por grupos APT desde dezembro de 2025, atingindo aproximadamente 600 milhões de instalações ativas em todo o mundo.

Recomendações Atualize o Acrobat DC e o Acrobat Reader DC para as versões 26.001.21411 ou posteriores. Como solução temporária, desative o JavaScript navegando até Preferências > JavaScript e desmarcando Ativar JavaScript do Acrobat. Restrinja o uso da função util.readFileIntoStream() e monitore chamadas não autorizadas a esta API em arquivos PDF.