Parche urgente de Adobe corrige vulnerabilidad de día cero que convertía PDFs en herramientas para robar datos

Adobe publicó de urgencia un parche para Acrobat Reader tras detectarse una vulnerabilidad explotada en ataques de día cero desde, al menos, diciembre. La falla, registrada como CVE-2026-34621, permite que documentos PDF maliciosos eludan las barreras de seguridad internas y llamen a APIs de JavaScript con privilegios elevados, lo que abre la puerta a la ejecución arbitraria de código y la lectura y exfiltración de archivos locales sin más interacción del usuario que abrir el archivo afectado.

Según el análisis público que activó la investigación, el exploit aprovecha llamadas como util.readFileIntoStream() para volcar archivos del disco del equipo y funciones como RSS.addFeed() para enviar esos datos fuera del sistema y, además, para descargar código adicional controlado por el atacante. Es decir, un PDF corrupto puede convertir a Adobe Reader en una herramienta de robo de información y en un vector para traer más cargas maliciosas.

El origen de la detección fue un investigador que utiliza el sistema EXPMON: Haifei Li cuenta que alguien cargó una muestra llamada "yummy_adobe_exploit_uwu.pdf" para su análisis en esa plataforma, y que la muestra había llegado a VirusTotal días antes donde solo unos pocos motores la marcaron como maliciosa en un primer momento. Puedes ver el informe técnico de EXPMON sobre la muestra en su análisis público y la entrada en VirusTotal que muestra la detección limitada en aquel momento en esta página.

La comunidad de seguridad también identificó campañas activas en las que se empleaban documentos en ruso con señuelos relacionados con la industria petrolera y gasística. Un investigador que reportó observaciones públicas sobre estos ataques es Gi7w0rm, cuyo hilo puede consultarse en su publicación en X. La combinación de un exploit que pasa desapercibido ante muchos antivirus y señuelos específicos explica por qué los atacantes han podido aprovechar la vulnerabilidad en el mundo real.

Tras recibir la investigación, Adobe publicó su aviso de seguridad y asignó el identificador CVE-2026-34621. Inicialmente la compañía calificó la falla con una puntuación elevada y un vector de ataque de red, pero después modificó la evaluación y rebajó la gravedad al cambiar el vector a local, dejando una puntuación final más baja (aunque todavía alta). El boletín oficial con los detalles y las versiones corregidas está disponible en la página de Adobe: avisos de seguridad de Adobe.

Los productos afectados incluyen versiones concretas de Acrobat y Acrobat Reader en Windows y macOS; por ejemplo, Acrobat DC y Acrobat Reader DC hasta la serie 26.001.21367 y Acrobat 2024 hasta la 24.001.30356 quedaron marcados como vulnerables y han recibido actualizaciones específicas que corrigen la falla (entre otras, la serie 26.001.21411 para DC y versiones 24.001.30362/30360 para Acrobat 2024, según plataforma). En el boletín de Adobe aparecen listadas las versiones y los instaladores corregidos para cada sistema.

Adobe recomienda aplicar la actualización a la mayor brevedad posible: lo habitual es usar el menú Help > Check for Updates dentro de la aplicación para forzar la instalación automática, aunque también es posible descargar el instalador desde el portal oficial de Adobe en get.adobe.com/reader. En el aviso público no se ofrecen mitigaciones alternativas, por lo que la actualización es la única medida oficial indicada para protegerse contra este exploit.

Desde una perspectiva práctica, hay dos lecciones inmediatas. La primera es que mantener el software al día sigue siendo la defensa más efectiva: cuando una vulnerabilidad permite sortear el sandbox y manipular APIs con privilegios, el parche del proveedor corta la vía de explotación. La segunda es que hay que desconfiar de PDFs inesperados, especialmente si proceden de remitentes no verificados o contienen contenidos que buscan llamar la atención por su temática sensible; abrirlos en entornos aislados o máquinas virtuales reduce el riesgo de impacto directo.

Para equipos y administradores informáticos la recomendación es priorizar la actualización en estaciones de trabajo y sistemas donde se use Acrobat Reader de forma habitual, y revisar telemetría y logs en búsqueda de aperturas sospechosas de PDFs durante los meses en los que la vulnerabilidad estuvo activa. En entornos corporativos, medidas adicionales como la restricción de ejecución de macros, políticas de bloqueo de aplicaciones y protección contra exfiltración de datos pueden limitar el alcance de un ataque similar.

El caso también recuerda que las cadenas de suministro de amenazas pueden tardar en ser detectadas por motores antivirus y que las contribuciones comunitarias y sistemas como EXPMON y VirusTotal son herramientas complementarias valiosas para identificar muestras que, de otro modo, pasarían inadvertidas. El post técnico del investigador que activó la investigación ofrece contexto sobre cómo se descubrió la muestra y qué técnicas de detección interna ayudaron; puedes leer más en el blog de Haifei Li en su blog personal.

Si usas Acrobat o Acrobat Reader, no demores la actualización: es la acción más segura y sencilla para cerrar esta brecha. Y si manejas documentos sensibles o trabajas en sectores con perfiles de ataque alto, combina la actualización con prácticas de aislamiento y monitoreo para minimizar el riesgo mientras el ecosistema sigue recuperándose de explotaciones activas.