Parche urgente do Adobe corrige vulnerabilidade de dia zero que converteva PDFs em ferramentas para roubar dados

A Adobe publicou um sistema de urgência para o Acrobat Reader após detectar uma vulnerabilidade explorada em ataques de dia zero desde, pelo menos, dezembro. A falha, registrada como CVE-2026-34621, permite que documentos PDF maliciosos eludam as barreiras de segurança internas e chamem a APIs de JavaScript com privilégios elevados, o que abre a porta para a execução arbitrária de código e leitura e exfiltração de arquivos locais sem mais interação do usuário do que abrir o arquivo afetado.

Segundo a análise pública que activou a pesquisa, o exploit aproveita chamadas como util.readFileIntoStream () para enviar ficheiros do disco do computador e funções como RSS.addFeed () para enviar esses dados fora do sistema e, além disso, para baixar código adicional controlado pelo atacante. Ou seja, um PDF corrupto pode converter o Adobe Reader em uma ferramenta de roubo de informações e em um vetor para trazer mais cargas maliciosas.

A origem da detecção foi um pesquisador que utiliza o sistema EXPMON: Haifei Li conta que alguém carregou uma amostra chamada "yummy_adobe_exploit_uwu.pdf" para sua análise nessa plataforma, e que a amostra tinha chegado a VírusTotal dias antes onde apenas alguns motores a marcaram como maliciosa em um primeiro momento. Você pode ver o relatório técnico de EXPMON sobre a amostra em sua análise pública e a entrada no VírusTotal que mostra a detecção limitada naquele momento em esta página.

A comunidade de segurança também identificou campanhas ativas em que se empregavam documentos em russo com cogumelos relacionados à indústria petrolífera e de gás. Um pesquisador que relatou observações públicas sobre esses ataques é Gi7w0rm, cujo fio pode ser consultado. sua publicação em X. A combinação de um exploit que passa despercebido diante de muitos antivírus e señuelos específicos explica por que os atacantes puderam aproveitar a vulnerabilidade no mundo real.

Após receber a pesquisa, a Adobe publicou seu aviso de segurança e designou o ID CVE-2026-34621. Inicialmente a empresa classificou a falha com uma pontuação elevada e um vetor de ataque de rede, mas depois modificou a avaliação e rebalhou a gravidade ao mudar o vetor para local, deixando uma pontuação final mais baixa (embora ainda alta). O boletim oficial com detalhes e versões corrigidas está disponível na página do Adobe: Avisos de Segurança do Adobe.

Os produtos afetados incluem versões concretas do Acrobat e Acrobat Reader no Windows e macOS; por exemplo, o Acrobat DC e o Acrobat Reader DC até a série 26.001.21367 e o Acrobat 2024 até a 24.001.30356 foram marcados como vulneráveis e receberam atualizações específicas que corrigem a falha (entre outras, a série 26.001.21411 para DC e versões 24.001.30362/30360 para o Acrobat 2024, segundo plataforma). No boletim da Adobe aparecem listadas as versões e os instaladores corrigidos para cada sistema.

A Adobe recomenda aplicar a atualização logo que possível: o habitual é usar o menu Help > Check for Updates dentro da aplicação para forçar a instalação automática, embora também seja possível baixar o instalador a partir do portal oficial da Adobe em get.adobe.com/reader. No aviso público não são oferecidas mitigações alternativas, pelo que a atualização é a única medida oficial indicada para se proteger contra este exploit.

De uma perspectiva prática, há duas lições imediatas. A primeira é que manter o software por dia continua sendo a defesa mais eficaz: quando uma vulnerabilidade permite sortear o sandbox e manipular APIs com privilégios, o adesivo do fornecedor corta a via de exploração. A segunda é que há que desconfiar de PDFs inesperados, especialmente se procedem de remetentes não verificados ou contêm conteúdos que buscam chamar a atenção por sua temática sensível; abri-los em ambientes isolados ou máquinas virtuais reduz o risco de impacto direto.

Para equipes e administradores informáticos, a recomendação é priorizar a atualização em estações de trabalho e sistemas onde o Acrobat Reader é usado de forma habitual, e revisar telemetria e logs em busca de aberturas suspeitas de PDFs durante os meses em que a vulnerabilidade esteve ativa. Em ambientes corporativos, medidas adicionais como a restrição de execução de macros, políticas de bloqueio de aplicativos e proteção contra exfiltração de dados podem limitar o alcance de um ataque similar.

O caso também lembra que as cadeias de fornecimento de ameaças podem levar a ser detectadas por motores antivírus e que as contribuições comunitárias e sistemas como EXPMON e VírusTotal são ferramentas complementares valiosas para identificar amostras que, de outro modo, passariam despercebidos. O post técnico do pesquisador que activou a pesquisa oferece contexto sobre como se descobriu a amostra e quais técnicas de detecção interna ajudaram; você pode ler mais no blog de Haifei Li em seu blog pessoal.

Se você usa o Acrobat ou o Acrobat Reader, não demores a atualização: é a ação mais segura e fácil para fechar essa brecha. E se você gerencia documentos sensíveis ou trabalha em setores com perfis de ataque alto, combina a atualização com práticas de isolamento e monitoramento para minimizar o risco enquanto o ecossistema continua a recuperar de explorações ativas.