Spreparowany plik PDF pozwala przejąć komputer z Adobe Reader lub Acrobat 7, 8 albo 9. CISA potwierdza wykorzystanie luki w atakach. Znajdź i usuń stare wersje programu dziś.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy otwierają pliki PDF od klientów, dostawców i z internetu. Werdykt: jeśli na jakimkolwiek komputerze w firmie nadal działa Adobe Reader lub Acrobat w wersji 7, 8 albo 9, usuń go lub zastąp aktualną, wspieraną wersją dziś, bo CISA potwierdza wykorzystanie tej luki w atakach.
Amerykańska agencja CISA 20 maja 2026 roku dopisała do katalogu KEV podatność CVE-2009-3459 w programach Adobe Reader i Acrobat. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. Luka ma prawie 17 lat, ale wpis w katalogu przypomina, że stare instalacje nadal są celem.
Błąd polega na przepełnieniu bufora na stercie. Spreparowany plik PDF uszkadza pamięć programu i pozwala napastnikowi uruchomić własny kod na komputerze osoby, która ten plik otworzy. Producent już w październiku 2009 roku pisał o ograniczonych, celowanych atakach z użyciem tej luki.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 3 czerwca 2026 roku. Dla firmy w Polsce ten termin nie jest wiążący, ale jest dobrym punktem odniesienia: każda stara instalacja Readera to dziś zaległość.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2009-3459 |
Data dodania do CISA KEV | 2026-05-20 |
Termin naprawy wg CISA | 2026-06-03 (14 dni od wpisu) |
Produkt | Adobe Acrobat i Adobe Reader (Windows, macOS; Reader także UNIX) |
Wersje zagrożone | Gałąź 7.x przed 7.1.4, gałąź 8.x przed 8.1.7, gałąź 9.x przed 9.2 (biuletyn producenta: 9.1.3, 8.1.6, 7.1.3 i starsze) |
Wersje bezpieczne | Pierwsze wersje z poprawką: 7.1.4, 8.1.7 i 9.2 (biuletyn APSB09-15). Gałęzie 7, 8 i 9 od lat nie są wspierane przez producenta, więc realnie bezpieczna jest tylko aktualna, wspierana wersja Acrobat lub Acrobat Reader |
Typ podatności | Przepełnienie bufora na stercie prowadzące do wykonania kodu; CWE-119 (NVD, KEV), CWE-122 (CISA, dane uzupełniające) |
Ocena CVSS | NVD: 9.3 (CVSS 2.0, WYSOKA). CISA: 8.8 (CVSS 3.1, WYSOKA). Atak przez sieć, bez logowania, ale wymaga działania użytkownika (otwarcia pliku) |
Wyobraź sobie magazyn, w którym każdy dostawca ma wyznaczone miejsce na paletę. Magazynier przyjmuje dostawę bez sprawdzania, ile palet przyjechało. Jeśli ktoś przywiezie trzy palety zamiast jednej, nadmiar ląduje na sąsiednich miejscach i przygniata cudze towary, w tym tablicę z instrukcjami dla całej zmiany. Sprytny dostawca może tak ułożyć nadmiarowe palety, żeby na tablicy pojawiła się jego własna instrukcja.
Tak działał ten błąd. Program Adobe czytał plik PDF i przydzielał na jego fragment określoną ilość pamięci. Spreparowany plik zawierał więcej danych, niż program przewidział, a nadmiar nadpisywał sąsiednie obszary pamięci. Napastnik mógł w ten sposób przejąć sterowanie programem i uruchomić swój kod z uprawnieniami zalogowanego pracownika.
💡 Sterta to obszar pamięci, z którego program bierze miejsce na dane wczytywane w trakcie pracy (obrazy, czcionki, formularze). Przepełnienie bufora oznacza zapisanie większej ilości danych, niż zarezerwowano miejsca. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach. CVSS to skala od 0 do 10 opisująca powagę luki.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera PDF z oferty dostawcy | Widzi dokument, nic więcej się nie dzieje | Razem z dokumentem może uruchomić się ukryty kod napastnika |
Pracownik klika link do PDF na stronie | Dokument wyświetla się w przeglądarce | Stara wtyczka Readera otwiera plik automatycznie, bez dodatkowej decyzji |
Program antywirusowy | Sprawdza znane zagrożenia | Nowa odmiana spreparowanego pliku może przejść niezauważona |
Uprawnienia pracownika | Dostęp do jego plików i udziałów sieciowych | Napastnik dostaje ten sam dostęp co pracownik |
Dział IT | Widzi zwykłe otwarcie dokumentu | Najczęściej nie widzi nic podejrzanego, dopóki nie pojawią się skutki |
źródło: Pexels, HarunPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie pozwala zaatakować firmy „z zewnątrz” bez udziału człowieka: ktoś musi otworzyć spreparowany plik PDF lub wejść na stronę, która go podsuwa. CISA ocenia, że ataku nie da się w pełni zautomatyzować, więc zwykle jest to atak celowany, prowadzony przez e-mail lub zainfekowaną stronę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Przygotowanie pliku PDF wykorzystującego lukę (publicznie dostępny moduł Metasploit ułatwia to zadanie) | Gotowa „zatruta” faktura, oferta lub CV |
2. Dostarczenie | T+kilka godzin | Wysłanie pliku e-mailem do działu zakupów, kadr lub księgowości albo umieszczenie go na stronie | Plik w skrzynce pracownika |
3. Otwarcie | T+minuty do dni | Pracownik otwiera dokument w starym Readerze | Kod napastnika uruchamia się na komputerze |
4. Utrwalenie | T+1 godzina | Instalacja narzędzia zdalnego dostępu, kradzież haseł zapisanych w przeglądarce | Stały dostęp do komputera |
5. Rozszerzenie | T+1 do 7 dni | Przegląd udziałów sieciowych, poczty i dokumentów, próby przejęcia kolejnych kont | Dostęp do danych firmy i klientów |
6. Wykorzystanie | T+1 do 4 tygodni | Kradzież danych, podmiana numerów kont w dokumentach lub szyfrowanie plików | Straty finansowe i przestój |
Mogę Ci jakoś pomóc?
Ryzyko nie dotyczy każdej firmy w tym samym stopniu. Firma, która ma wyłącznie aktualne wersje Acrobat Reader, jest poza zasięgiem tej luki. Problem mają organizacje z zapomnianymi komputerami: stare stanowiska w produkcji, magazynie, recepcji, maszyny wirtualne z dawnymi systemami, laptopy „do zadań specjalnych”. Stary Reader na takim komputerze prawie na pewno ma też inne, nowsze luki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stanowisko, a w dalszym kroku zaszyfrowane pliki i przestój działu | Dni do tygodni | 20 tys. do 200 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek dokumentów, umów i danych osobowych z przejętego komputera i udziałów sieciowych | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Podmiana numerów kont, wyłudzenie przelewu, koszty zewnętrznych specjalistów | Dni do tygodni | 30 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, którzy powierzyli firmie dokumenty | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy, w której działa
Adobe Reader lub Acrobat 7, 8 albo 9
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie stanowiska), a prawdopodobieństwo średnie, bo atak wymaga otwarcia pliku przez pracownika i dotyczy tylko firm, które wciąż mają bardzo stare wersje; firma bez takich instalacji jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić na wszystkich komputerach (także starych i wirtualnych), czy zainstalowany jest Adobe Reader lub Acrobat w wersji 7, 8 albo 9 | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Odłączyć od sieci lub od poczty stanowiska, na których stara wersja nie może zostać od razu usunięta | Dziś | Administrator IT |
3 | 🟠 PILNIE | Odinstalować stare wersje i zainstalować aktualny, wspierany Acrobat Reader lub Acrobat | Do 3 dni | Administrator IT / partner IT |
4 | 🟠 PILNIE | Sprawdzić, czy na tych komputerach nie ma śladów włamania (nieznane programy, autostart, nietypowe połączenia) | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Ustalić, dlaczego stara wersja była potrzebna (np. zgodność z formularzem lub programem) i znaleźć zamiennik | Do 7 dni | Kierownik IT z właścicielem procesu |
6 | 🟡 WAŻNIE | Wdrożyć stałą inwentaryzację oprogramowania i automatyczne aktualizacje przeglądarek PDF | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przeszkolić dział kadr, zakupów i księgowości z bezpiecznego otwierania plików od nieznanych nadawców | Do 30 dni | Kierownik IT / HR |
Producent wydał poprawki w październiku 2009 roku, a starsze gałęzie od dawna nie są wspierane, więc docelowo jedynym rozwiązaniem jest aktualna wersja programu. Na czas przejścia US-CERT w alercie z 2009 roku wskazał kilka środków ograniczających ryzyko. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie obsługi JavaScript w programie Adobe (zalecenie US-CERT) | Średnia: utrudnia część ataków, ale nie usuwa błędu | Łatwa, ale psuje interaktywne formularze PDF |
Wyłączenie wyświetlania PDF w przeglądarce i automatycznego otwierania plików (zalecenie US-CERT) | Średnia: dokument nie otworzy się bez decyzji użytkownika | Łatwa |
Włączenie w systemie ochrony przed wykonywaniem danych (DEP), z zastrzeżeniem US-CERT, że to nie jest pełne obejście | Niska do średniej | Średnia |
Otwieranie plików z zewnątrz w innej, aktualnej przeglądarce PDF na odizolowanym stanowisku | Wysoka dla tej konkretnej luki | Średnia: wymaga zmiany nawyków |
Praca na koncie bez uprawnień administratora | Niska jako ochrona, ogranicza skutki | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje programów PDF | Nieznane, możliwe stare gałęzie 7 do 9 | Znana lista, tylko wspierane wersje |
Otwieranie PDF z zewnątrz | Może uruchomić kod napastnika | Otwiera dokument bez znanej luki |
Stare komputery | Poza kontrolą, bez aktualizacji | Zinwentaryzowane, zaktualizowane albo odcięte |
Widoczność incydentów | Brak wiedzy, czy ktoś już wszedł | Sprawdzone stanowiska i udokumentowany wynik |
Zgodność z wymogami | Zaległość wobec terminu CISA z 3 czerwca 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Już w 2009 roku Adobe pisało o ograniczonych, celowanych atakach |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 wg NVD (CVSS 2.0); 8.8 WYSOKA wg CISA (CVSS 3.1) |
PoC dostępny publicznie? | TAK, moduł Metasploit „Adobe FlateDecode Stream Predictor 02 Integer Overflow” przypisany do CVE-2009-3459 |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA), atak wymaga otwarcia pliku przez użytkownika |
Wpływ techniczny | Całkowity (ocena CISA) |
Luka jest stara, ale jej obecność w KEV w 2026 roku mówi jedno: napastnicy nadal znajdują komputery, na których te wersje działają.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2009-3459
CVSS 2.0 (NVD) 9.3/10 ███████████████████░ WYSOKA
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny exploit TAK ████████████████████ Metasploit
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2009-10-08 Adobe publikuje ostrzeżenie o luce wykorzystywanej w atakach
2009-10-13 Biuletyn APSB09-15 z poprawkami (7.1.4, 8.1.7, 9.2)
2009-10-13 Publikacja CVE-2009-3459 i alert US-CERT TA09-286B
... gałęzie 7, 8 i 9 tracą wsparcie producenta
2026-05-20 CISA dodaje lukę do katalogu KEV
2026-06-03 Termin naprawy wg CISA dla agencji federalnych
... ponad 3,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta APSB09-15 nie jest już dostępny pod pierwotnym adresem, dlatego CISA odsyła do kopii w archiwum: biuletyn Adobe APSB09-15 (archiwum) . Alert CISA: cisa.gov, Adobe Reader and Acrobat Vulnerabilities . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2009-3459 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić sprawdzenie wszystkich komputerów pod kątem Adobe Reader lub Acrobat 7, 8 i 9 | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie od sieci stanowisk, których nie da się od razu zaktualizować | CTO | DZISIAJ |
3 | Uzyskać pisemną listę znalezionych starych instalacji z nazwą komputera i właściciela | CTO | DZISIAJ |
4 | Zatwierdzić wymianę starych wersji na aktualny Acrobat Reader lub Acrobat | CTO | DO JUTRA |
5 | Sprawdzić, czy licencje Acrobat obejmują aktualne wersje, i zabezpieczyć budżet na brakujące | CFO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową starych stanowisk | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualizowanego oprogramowania | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy na którymkolwiek komputerze w firmie działa Adobe Reader lub Acrobat w wersji 7, 8 albo 9? | TAK / NIE | 🔴 |
2 | Ile takich komputerów znaleźliśmy i do kogo należą? | [liczba] | 🔴 |
3 | Jaką wersję Acrobat Reader lub Acrobat mamy na standardowym stanowisku? | [wersja] | 🔴 |
4 | Czy mamy aktualną listę oprogramowania na wszystkich komputerach, także starych i wirtualnych? | TAK / NIE | 🟠 |
5 | Kiedy sprawdziliśmy stare stanowiska pod kątem śladów włamania? | [data] | 🟠 |
6 | Czy aktualizacje programów do PDF instalują się automatycznie? | TAK / NIE | 🟠 |
7 | Czy pracownicy działu kadr, zakupów i księgowości pracują na kontach bez uprawnień administratora? | TAK / NIE | 🟡 |
CVE-2009-3459 pozwala przejąć komputer przez otwarcie spreparowanego pliku PDF w Adobe Reader lub Acrobat 7, 8 albo 9. Poprawki wyszły w 2009 roku, ale CISA w maju 2026 roku potwierdziła, że luka nadal jest wykorzystywana, więc inwentaryzacja i usunięcie starych wersji to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.