Spreparowany PDF otwarty w Adobe Acrobat lub Reader może uruchomić kod napastnika (CVE-2026-34621). CISA potwierdza ataki. Zaktualizuj czytnik do wersji z biuletynu APSB26-43, pamiętając o różnych progach dla Windows i macOS.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy otwierają pliki PDF w Adobe Acrobat lub Acrobat Reader, zwłaszcza w księgowości i sekretariacie. Werdykt: jeśli czytnik ma wersję starszą niż 26.001.21411 (gałąź ciągła) albo 24.001.30362 na Windows lub 24.001.30360 na macOS (gałąź klasyczna 2024), zaktualizuj go dziś, bo CISA potwierdza ataki złośliwymi plikami PDF.
Amerykańska agencja CISA 13 kwietnia 2026 roku dopisała podatność CVE-2026-34621 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Adobe Acrobat i Acrobat Reader, programów zainstalowanych na większości firmowych komputerów. Wystarczy, że pracownik otworzy spreparowany plik PDF, a napastnik może uruchomić na jego komputerze dowolny kod z uprawnieniami tej osoby.
Termin naprawy wyznaczony przez CISA minął 27 kwietnia 2026 roku, prawie pięć miesięcy temu. Producent opisał poprawkę w biuletynie APSB26-43 i nie podał obejść zastępujących aktualizację.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-34621 (w europejskiej bazie ENISA: EUVD-2026-21675) |
Data dodania do CISA KEV | 2026-04-13 |
Termin naprawy wg CISA | 2026-04-27 (14 dni od wpisu) |
Produkt | Adobe Acrobat i Acrobat Reader (Acrobat DC, Acrobat Reader DC, Acrobat 2024) |
Wersje zagrożone | Opis producenta: 26.001.21367 i starsze oraz 24.001.30356 i starsze. Wg NVD: gałąź ciągła (DC) niższa niż 26.001.21411 na Windows i macOS; gałąź klasyczna 2024 od 24.0.0 do niższej niż 24.001.30362 na Windows i niższej niż 24.001.30360 na macOS |
Wersje bezpieczne | Gałąź ciągła: 26.001.21411 lub nowsza. Gałąź klasyczna 2024: 24.001.30362 lub nowsza (Windows), 24.001.30360 lub nowsza (macOS). Biuletyn producenta: APSB26-43 |
Typ podatności | Zanieczyszczenie prototypu prowadzące do wykonania dowolnego kodu; CWE-1321 (niewłaściwie kontrolowana modyfikacja atrybutów prototypu obiektu) |
Ocena CVSS | Adobe: 8.6 (CVSS 3.1, WYSOKA), wektor AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Atak lokalny (przez otwarty plik), wymaga działania użytkownika, ale skutki wychodzą poza program i są całkowite. NVD nie wystawił własnej oceny |
Najważniejsza pułapka: w gałęzi klasycznej próg bezpiecznej wersji jest inny na Windows i na macOS. Kto sprawdza obie platformy jednym numerem, wyciągnie błędny wniosek dla części komputerów.
Wyobraź sobie drukarnię, która drukuje formularze z jednej matrycy. Jeśli ktoś podmieni pojedynczy wydrukowany formularz, szkoda jest mała. Jeśli jednak podmieni samą matrycę, każdy kolejny formularz wyjdzie z jego poprawką, także te zamawiane przez zupełnie inne działy. Nikt nie zauważy, bo każdy formularz wygląda jak zawsze.
Tak działa zanieczyszczenie prototypu. Dokumenty PDF mogą zawierać skrypty, a czytnik tworzy w nich obiekty z „matrycy”, czyli prototypu. Złośliwy PDF zmienia tę matrycę, a zmiana przenosi się na obiekty tworzone przez inne części programu. W efekcie napastnik może uruchomić własny kod na komputerze osoby, która otworzyła plik, z jej uprawnieniami: dostępem do dokumentów, poczty i dysków sieciowych.
💡 Prototyp to wzorzec, z którego program tworzy obiekty. Zanieczyszczenie prototypu (prototype pollution) oznacza podmianę tego wzorca. Wykonanie dowolnego kodu to sytuacja, w której napastnik może uruchomić na komputerze ofiary dowolny program. Zmiana zakresu w ocenie CVSS oznacza, że skutki wychodzą poza podatny program. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Księgowa otwiera fakturę PDF od nowego kontrahenta | Widzi dokument, nic więcej się nie dzieje | Spreparowany plik może uruchomić kod napastnika |
Pracownik ma konto administratora komputera | Wygoda przy instalowaniu programów | Napastnik od razu dostaje pełną kontrolę nad komputerem |
Pracownik ma zwykłe konto | Ograniczone uprawnienia | Napastnik i tak ma dostęp do dokumentów, poczty i dysków sieciowych tej osoby |
Sprawdzanie wersji jednym numerem na Windows i macOS | Wystarcza przy większości programów | W gałęzi klasycznej daje błędny wynik dla części komputerów |
Ostrzeżenie „nie otwieraj podejrzanych plików” | Pomaga | Nie działa na stanowisku, którego praca polega na otwieraniu faktur |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie zaczyna się od skanowania internetu: ofiara musi sama otworzyć plik. CISA ocenia, że ataku nie da się zautomatyzować, więc napastnik musi wybrać firmę i przygotować wiadomość, która skłoni kogoś do kliknięcia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wybór firmy i osób, które otwierają dużo PDF (księgowość, sekretariat, zarząd) | Lista adresów i kontekst (klienci, dostawcy) |
2. Przygotowanie pliku | T+godziny | Spreparowanie PDF wykorzystującego lukę, opakowanego jako faktura, oferta lub wezwanie do zapłaty | Wiarygodny załącznik |
3. Dostarczenie | T+1 dzień | Wysyłka e-mailem lub przez formularz kontaktowy | Plik w skrzynce ofiary |
4. Otwarcie | T+minuty do dni | Pracownik otwiera plik w nieaktualnym Acrobat Reader | Kod napastnika działa z uprawnieniami pracownika |
5. Utrwalenie | T+godziny | Instalacja narzędzia zdalnego dostępu, kradzież haseł zapisanych w przeglądarce | Stały dostęp do komputera |
6. Kradzież lub szantaż | T+dni do tygodni | Kopiowanie dokumentów, przejście na inne komputery, podmiana numerów kont w fakturach | Wyciek danych, straty finansowe |
Mogę Ci jakoś pomóc?
Czytnik PDF jest na prawie każdym komputerze, a pliki PDF to codzienność w każdej firmie. Luka daje napastnikowi to samo, co ma pracownik, który otworzył plik. Na stanowisku księgowym oznacza to dostęp do finansów, na stanowisku zarządu do strategii i umów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stacje robocze do reinstalacji, możliwe rozprzestrzenienie na inne komputery | Godziny do dni | 20 tys. do 200 tys. PLN (reinstalacja, przestój stanowisk) |
Bezpieczeństwo danych | Kradzież dokumentów, haseł i poczty z przejętego komputera | Godziny od otwarcia pliku | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Podmienione numery kont w fakturach, wyłudzenia przelewów, ewentualny okup | Dni do tygodni | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Kontrahenci dostają złośliwe pliki z Twojej skrzynki, utrata zaufania | Tygodnie | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z nieaktualnym Acrobat Reader
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo napastnik przejmuje komputer z uprawnieniami pracownika, a prawdopodobieństwo wysokie (potwierdzone ataki, program na każdym biurku), ale nie najwyższe, bo atak wymaga otwarcia pliku przez człowieka i nie da się go zautomatyzować.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wersje Acrobat i Acrobat Reader na wszystkich komputerach, notując razem gałąź (ciągła lub klasyczna 2024), system (Windows lub macOS) i numer | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zaktualizować czytniki w księgowości, sekretariacie i zarządzie do wersji z sekcji 1 | Dziś | Dział IT / partner IT |
3 | 🟠 PILNIE | Zaktualizować pozostałe komputery i sprawdzić, czy automatyczne aktualizacje Adobe są włączone | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Sprawdzić, czy pracownicy nie pracują na kontach z uprawnieniami administratora | Do 7 dni | Administrator |
5 | 🟠 PILNIE | Przypomnieć pracownikom finansów o weryfikacji telefonicznej każdej zmiany numeru konta kontrahenta | Do 7 dni | CFO |
6 | 🟡 WAŻNIE | Rozważyć wyłączenie obsługi skryptów w dokumentach PDF, jeśli firma ich nie używa (ocena ekspercka, producent nie podał tego jako obejścia) | Do 14 dni | Dział IT |
7 | 🟡 WAŻNIE | Włączyć filtrowanie załączników w poczcie i przegląd plików PDF od nowych nadawców | Do 30 dni | Dział IT |
Adobe wydał poprawki (biuletyn APSB26-43) i żadne dostępne źródło nie opisuje obejścia zastępującego aktualizację. Nie wskazano też, który element czytnika zawiera błąd. Poniższe miary tylko zmniejszają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie obsługi JavaScript w ustawieniach Acrobat | Średnia: ogranicza typową drogę ataków na czytniki PDF, ale producent nie potwierdził, że zamyka tę lukę | Łatwa, może psuć formularze PDF |
Otwieranie PDF od nieznanych nadawców w przeglądarce lub innym czytniku | Średnia: omija podatny program | Łatwa |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki, nie blokuje ataku | Średnia |
Filtrowanie załączników PDF w poczcie | Niska do średniej: zależy od skuteczności filtra | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Otwarcie złośliwego PDF | Może przejąć komputer | Luka zamknięta w zaktualizowanym czytniku |
Wiedza o wersjach | Jeden numer dla wszystkich komputerów | Spis: gałąź, system i numer dla każdej maszyny |
Uprawnienia pracowników | Często konto administratora | Zwykłe konta, mniejszy zasięg ataku |
Procedura przelewów | Zmiana konta na podstawie pliku | Weryfikacja telefoniczna |
Zgodność z wymogami | Prawie 5 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, wpływ techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA wg Adobe (CVSS 3.1); ENISA podaje tę samą wartość |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; nie opublikowano opisu kampanii ani wskaźników włamania |
Automatyzacja ataku | Nie (ocena CISA): każdy atak wymaga otwarcia pliku przez człowieka |
Prognoza EPSS | 0,071 (ok. 7% szansy próby wykorzystania w 30 dni), wyżej niż około 94% znanych podatności; odczyt z 23 sierpnia 2026 (wg analizy źródłowej) |
Wynik CVSS wynika z połączenia łatwego wejścia z całkowitymi skutkami:
Mogę Ci jakoś pomóc?
Rozbicie oceny CVSS 3.1 dla CVE-2026-34621
Łatwość ataku (1,8) █████░░░░░░░░░░░░░░░ atak lokalny, wymaga kliknięcia
Skutki (6,0) ████████████████░░░░ zmiana zakresu, pełny wpływ
Wynik końcowy 8.6/10 █████████████████░░░ WYSOKA
EPSS ~7% █░░░░░░░░░░░░░░░░░░░ percentyl ok. 94
CISA KEV ████████████████████ ataki potwierdzone 2026-04-11 Publikacja CVE-2026-34621, ocena CISA: wykorzystanie aktywne
2026-04-13 CISA dodaje lukę do katalogu KEV
2026-04-13 ENISA wskazuje ten dzień jako początek wykorzystania
2026-04-27 Termin naprawy wg CISA dla agencji federalnych
2026-08-23 EPSS: 0,071, percentyl ok. 94
... prawie 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami poprawek: helpx.adobe.com: APSB26-43 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-34621 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o spis wersji Acrobat i Reader z podziałem na gałąź i system | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację na stanowiskach księgowości, sekretariatu i zarządu | CTO | DZISIAJ |
3 | Przypomnieć zespołowi finansów zasadę weryfikacji zmian numerów kont telefonicznie | CFO | DZISIAJ |
4 | Zlecić sprawdzenie, kto pracuje na koncie administratora komputera | CTO | DO JUTRA |
5 | Zdecydować, czy firma korzysta z formularzy PDF ze skryptami (warunek wyłączenia JavaScript) | CTO | DO JUTRA |
6 | Sprawdzić, czy licencje Adobe obejmują wersje z poprawkami dla wszystkich stanowisk | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące wyłudzeń przelewów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów ma Acrobat lub Acrobat Reader w wersji starszej niż progi z sekcji 1? | [liczba] | 🔴 |
2 | Jaka wersja czytnika jest na komputerach księgowości i zarządu? | [wersja] | 🔴 |
3 | Czy sprawdzono osobno komputery z Windows i z macOS w gałęzi klasycznej? | TAK / NIE | 🔴 |
4 | Czy automatyczne aktualizacje Adobe są włączone na wszystkich stanowiskach? | TAK / NIE | 🟠 |
5 | Ilu pracowników ma uprawnienia administratora na swoim komputerze? | [liczba] | 🟠 |
6 | Czy obsługa JavaScript w czytniku PDF jest nam potrzebna? | TAK / NIE | 🟡 |
7 | Kiedy ostatnio aktualizowano czytniki PDF na wszystkich komputerach? | [data] | 🟡 |
CVE-2026-34621 pozwala przejąć komputer przez otwarcie spreparowanego pliku PDF w Adobe Acrobat lub Reader, a CISA potwierdza ataki. Aktualizacja do wersji z biuletynu APSB26-43, z uwzględnieniem różnych progów dla Windows i macOS w gałęzi klasycznej, to zadanie na dziś, zaczynając od księgowości i zarządu.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.