Adobe corrige un zero-day dans Acrobat Reader exploité depuis 5 mois

Ce qui s'est passé

Adobe a publié le 13 avril 2026 un correctif d'urgence pour une vulnérabilité critique référencée CVE-2026-34621, affectant Acrobat et Reader sur Windows et macOS. La faille, de type pollution de prototype (prototype pollution), permet à un attaquant d'exécuter du code arbitraire sur la machine de la victime à l'ouverture d'un document PDF spécialement conçu, selon The Hacker News et SecurityWeek qui ont détaillé l'analyse technique.

Le plus préoccupant est la durée d'exploitation avant le correctif. Des chercheurs en sécurité ont identifié un échantillon d'exploit sur VirusTotal remontant à novembre 2025, soit cinq mois d'exploitation active avant la publication du patch. La faille a initialement été évaluée avec un score CVSS de 9.6, avant d'être révisée à 8.6 par Adobe après modification du vecteur d'attaque de réseau à local.

La CISA a réagi rapidement en ajoutant la CVE-2026-34621 à son catalogue des vulnérabilités activement exploitées (KEV) dès le 13 avril, donnant aux agences fédérales américaines jusqu'au 27 avril pour appliquer le correctif. Les versions corrigées sont Acrobat DC et Reader DC 26.001.21411, ainsi qu'Acrobat 2024 versions 24.001.30362 et 24.001.30360, d'après BleepingComputer.

Pourquoi c'est important

Adobe Acrobat Reader reste l'un des logiciels les plus répandus en entreprise pour la gestion des documents PDF. Une faille zero-day exploitable par simple ouverture d'un fichier PDF représente un vecteur d'attaque redoutablement efficace, notamment via le phishing par email. Le fait que l'exploitation ait duré cinq mois sans correctif soulève des questions sur les délais de réponse d'Adobe face aux signalements de vulnérabilités critiques.

Pour les entreprises françaises, cette faille est particulièrement critique dans le contexte des échanges documentaires quotidiens : factures, contrats, rapports. Les équipes SOC doivent vérifier les logs d'ouverture de fichiers PDF suspects sur la période novembre 2025 à avril 2026 pour détecter d'éventuelles compromissions passées.

Ce qu'il faut retenir

• Mettez à jour immédiatement Acrobat et Reader vers les versions corrigées (26.001.21411 pour DC, 24.001.30362 pour Acrobat 2024).
• Vérifiez rétroactivement les fichiers PDF reçus par email entre novembre 2025 et avril 2026 pour identifier d'éventuels documents piégés exploitant cette faille.
• Envisagez de restreindre l'exécution de JavaScript dans les lecteurs PDF en entreprise pour limiter la surface d'attaque liée aux vulnérabilités de type prototype pollution.