觀點 · 資訊分享

Acrobat 與 Reader 的漏洞已遭利用：CISA 4/13 列入 KEV，Adobe 要求更新到 26.001.21411

Adobe 在 4 月 11 日發布緊急更新，說明已知 CVE-2026-34621 在現實中被利用；CISA 在 4 月 13 日把它列入已知遭利用漏洞（KEV）清單，處理期限為 4 月 27 日。開啟惡意 PDF 就可能被執行任意程式碼。

一句話看懂：Adobe 確認 Acrobat 與 Reader 的 CVE-2026-34621 已在現實中被利用，CISA 在 4 月 13 日把它列入 KEV 清單，請盡快更新。

Acrobat 與 Reader 漏洞列入 KEV資訊圖卡：Adobe 確認漏洞已在現實中被利用，請更新到 26.001.21411

先用白話講：這是什麼狀況？

PDF 幾乎每個人天天都在開：合約、報價單、發票。如果你的 PDF 閱讀器有個洞，壞人只要做出一份特殊的 PDF，你一打開，它就可能趁機執行自己的程式。

這次 Adobe 的公告說明，Acrobat 與 Reader 有個重大漏洞（原型污染，Prototype Pollution，一種讓程式的內部設定被亂改的錯誤），成功利用可能造成任意程式碼執行，而且「已知正在被利用」。

請先確認自己用的是哪一個產品線，再對照下表的版本號。在 Acrobat 或 Reader 的「說明 > 關於」可以看到目前版本。

Windows 與 macOS 都受影響。

漏洞類型：CWE-1321，對物件原型屬性的控制不當（原型污染）
CVSS 向量為 AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H：本機、低複雜度、不需權限、需要使用者互動
Adobe 公告沒有說明實際的攻擊手法或攻擊對象
更新方式：個人用戶用「說明 > 檢查更新」；管理環境可用 AIP-GPO、SCUP/SCCM（Windows）、Apple Remote Desktop 或 SSH（macOS）部署
另外，同一天 CISA 也列入了其他數個 Microsoft 與 Fortinet 的漏洞，這篇只談 Adobe 這一項

接案時常常會收到客戶寄來的 PDF，而 PDF 閱讀器又是大家最不會想到要更新的軟體之一，這種漏洞就特別麻煩。我的做法很簡單：現在就開 Acrobat 或 Reader 檢查更新；公司的電腦就讓 IT 用既有的部署工具一次推完。

在更新完成之前，來路不明的 PDF 先不要開，特別是看起來像急件、要你「立刻查看」的檔案。官方沒有說明攻擊細節，所以我不會猜測它怎麼被利用，但「已遭利用」這四個字已經夠我今天就去更新了。

這個漏洞怎麼被利用？

Adobe 公告沒有說明攻擊細節，只說明成功利用可能造成任意程式碼執行，並確認已知有實際利用。依 CVSS 向量，攻擊需要使用者互動（例如開啟檔案），攻擊途徑是本機。

我該怎麼更新？

在 Acrobat 或 Reader 中選擇「說明 > 檢查更新」，更新到官方列出的新版。公司管理的環境，可以用 Adobe 公告頁提供的企業部署方式。

為什麼 CVSS 分數改了？

Adobe 在 4 月 12 日的修訂紀錄寫明：把攻擊途徑從網路（AV:N）調整為本機（AV:L），因此整體分數從 9.6 降為 8.6，嚴重等級仍是 Critical。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。