Adobe Acrobat : CVE-2026-34621 exploitée depuis décembre

Ce qui s'est passé

Adobe a discrètement confirmé dans sa dernière mise à jour de bulletin qu'une campagne d'exploitation de CVE-2026-34621 était en cours contre Acrobat Reader et Acrobat DC sous Windows et macOS. Cette vulnérabilité prototype pollution dans le moteur JavaScript intégré au lecteur PDF permet à un attaquant de modifier les propriétés d'objets JavaScript à la volée, et d'obtenir une exécution de code arbitraire dans le contexte de l'utilisateur courant.

Le scénario d'attaque est simple : l'attaquant envoie par email un PDF contenant du JavaScript embarqué malveillant. À l'ouverture, le lecteur déclenche la pollution prototype et exécute le payload sans jamais afficher d'alerte au destinataire. Adobe a poussé les versions Acrobat DC et Reader DC 26.001.21411 (Windows/macOS), Acrobat 2024 v24.001.30362 (Windows) et 24.001.30360 (macOS). Les deux chaînes classique et continuous sont concernées.

Selon l'enquête post-patch, les premières traces d'exploitation remontent à décembre 2025, avec des vagues ciblées vers des cabinets d'avocats et des équipes de finance interne. L'analyse forensique des échantillons pointe vers une chaîne d'exfiltration orientée vol d'identifiants et pivot latéral rapide, cohérente avec l'outillage d'acteurs d'initial access brokers.

Pourquoi c'est important

Le PDF reste l'un des formats les plus contournés par les filtres email et les gateways : signature légitime, ouverture automatique dans les clients de messagerie modernes, et surface d'attaque JavaScript complexe. Une faille prototype pollution n'exige pas de corruption mémoire — elle exploite la logique même du langage — ce qui la rend stable à exécuter, difficile à détecter par EDR et indépendante des protections type ASLR ou DEP.

Les organisations qui s'appuient sur Adobe Acrobat pour des workflows sensibles (juridique, RH, finance) doivent considérer toute ouverture de PDF depuis décembre 2025 comme potentiellement compromise. La recommandation minimale : déployer le patch sans délai, bloquer l'exécution JavaScript dans Acrobat via GPO, et remonter les logs d'ouverture pour corroborer avec les indicateurs de compromission publiés par Adobe.

Ce qu'il faut retenir

• Patcher immédiatement Acrobat Reader/DC vers 26.001.21411 ou supérieur — l'échéance CISA est fixée au 27 avril 2026.
• Désactiver l'exécution JavaScript embarqué dans les PDF via la clé bDisableJavaScript en GPO tant que le parc n'est pas à jour.
• Rétro-analyser les ouvertures PDF depuis décembre 2025 dans les équipes sensibles (juridique, finance) : le zero-day a quatre mois d'avance.