Adobe Reader revient sur le devant de la scène en cybersécurité suite à la publication d’une enquête qui pointe vers un zero-day potentiellement exploité dans des campagnes réelles via des fichiers PDF spécifiquement manipulés. L’affaire provient du chercheur Haifei Li, l’un des responsables de EXPMON, qui affirme avoir découvert un échantillon capable d’abuser des API privilégiées d’Acrobat Reader, même dans ses versions à jour. Plusieurs médias spécialisés, tels que Help Net Security, Sophos et The Hacker News, ont relayé cette découverte et s’accordent à dire qu’à ce stade, aucun correctif spécifique d’Adobe n’a été identifié pour contrer ce comportement.

Ce signal d’alerte est particulièrement important car il ne s’agit pas du traditionnel PDF malveillant reposant sur macro, installateur secondaire ou une chaîne d’infection évidente. Selon l’analyse publiée par Li, il suffit d’ouvrir le document dans Adobe Reader pour que du JavaScript obfusqué contenu dans le fichier s’exécute. La première phase n’a pas pour objectif de prendre immédiatement le contrôle total du système, mais plutôt de collecter des informations locales sur la machine et de les transmettre à une infrastructure contrôlée par l’attaquant.

Les données extraites incluent le langue du système, la version précise du système d’exploitation, la version d’Adobe Reader et le chemin local du PDF. Ces informations correspondent parfaitement à une logique de fingerprinting avancé. Autrement dit, le fichier ne se contente pas de voler des données : il profile la victime afin de déterminer si la machine mérite une étape d’exploitation ultérieure. Cette seconde étape pourrait inclure de nouvelles charges JavaScript téléchargées depuis un serveur distant, menant potentiellement à une exécution de code à distance ou une fuite du sandbox. Cependant, cela n’a pas encore été confirmé de façon définitive lors des tests publics.

Le problème technique le plus critique : des API privilégiées à l’intérieur de Reader

Ce qui complique particulièrement la situation pour Adobe, c’est le mécanisme décrit par les chercheurs. La version analysée aurait abusé d’API privilégiées d’Acrobat, en particulier util.readFileIntoStream() pour accéder à des fichiers locaux via le processus d’Reader, et RSS.addFeed() pour exfiltrer des données ou recevoir du nouveau code. Lors de leurs tests, Li affirme avoir vérifié la capacité de lire des fichiers locaux ainsi que d’exécuter du JavaScript supplémentaire renvoyé par le serveur distant. Bien que cela ne constitue pas encore une exploitation complète de type RCE (Remote Code Execution) démontrée publiquement, cela suffit à faire rigoriser les inquiétudes autour de la sécurité de Reader et de son moteur JavaScript.

Sophos partage une position similaire dans leur rapport technique. Leur équipe indique que cette vulnérabilité permettrait à des acteurs malveillants de manipuler des PDFs scénarisés pour utiliser des API privilégiées, voler des données sensibles, ou lancer des attaques de second niveau. La société souligne aussi que les leurres observés jusqu’ici semblent liés à des faux en russe liés au pétrole et au gaz, laissant penser à une campagne plus ciblée que massive.

Adobe a déjà corrigé Reader en mars, mais cette nouvelle menace suivrait une voie différente

Le contexte temporel est également pertinent. Adobe a publié le 10 mars 2026 le bulletin APSB26-26 pour Acrobat et Reader, avec une mise à jour le 31 mars visant à corriger des vulnérabilités critiques et importantes permettant notamment des exécutions arbitraires de code ou escala de privilèges. Dans ce même bulletin, la société précisait qu’elle n’avait pas connaissance d’une exploitation active pour ces failles. Le zero-day potentiel évoqué par EXPMON pourrait donc être une vulnérabilité distincte, non couverte par la mise à jour de mars.

Ce détail est crucial dans le domaine technologique, car il évite la confusion entre deux problématiques. Adobe a bien continué à publier des correctifs de sécurité pour Reader, mais l’enquête d’avril pointe vers une capacité non explicitement adressée par le dernier bulletin public. SecurityWeek avait déjà résumé en mars qu’Adobe avait corrigé 80 vulnérabilités dans huit produits, y compris plusieurs dans Acrobat Reader, sans qu’il ne soit rapporté d’exploitation active à leur sujet. La découverte actuelle modifie la donne : il ne s’agit pas de remettre en question l’action d’Adobe pour patcher ses failles, mais de s’interroger sur la persistance d’un modèle d’exposition du lecteur PDF qui pourrait laisser une porte ouverte à des attaques très sophistiquées.

Une campagne qui pourrait être active depuis plusieurs mois

Un autre facteur renforçant la crédibilité du scénario est la chronologie. Help Net Security indique que l’exploitation de ce éventuel zero-day remonterait à novembre 2025 ou avant, en se basant sur les échantillons observés par les chercheurs. The Hacker News précise que l’un des fichiers, “Invoice540.pdf”, aurait été détecté sur VirusTotal le 28 novembre 2025, un autre étant repéré en mars 2026. Si cette reconstruction est correcte, cela signifierait que la campagne aurait pu durer plusieurs mois sans correctif spécifique ni détection massive.

Ce qui explique aussi l’intérêt croissant porté à cette affaire : le format PDF demeure l’un des plus utilisés en entreprise, en administration et dans le secteur juridique. Adobe Reader est toujours installé sur des millions de postes. Un flou dans la sécurité du lecteur, capable de transformer un document apparemment banal en outil de fingerprinting, de vol de données, ou d’installation de charges supplémentaires, touche à une surface d’attaque classique et difficile à supprimer en informatique professionnelle.

Que doivent faire les entreprises maintenant ?

En l’absence d’un correctif officiel immédiat, la défense repose sur des mesures classiques mais essentielles. Sophos recommande de suivre la publication d’un patch officiel par Adobe, tout en renforçant l’analyse automatique des pièces jointes PDF, la filtration et le blocage des fichiers suspects. Il est également conseillé de former les utilisateurs à reconnaître les documents non sollicités et, en attendant, d’éviter d’ouvrir des PDFs non fiables avec Adobe Reader. La société a aussi publié des indicateurs de compromettre précis, notamment le domaine ado-read-parser[.]com, deux adresses IP, et le user-agent “Adobe Synchronizer”, à surveiller en réseau.

Les responsables de la sécurité doivent adopter une posture de prudence : alors que Reader reste une composante vulnérable dans bien des environnements, un PDF mal conçu serveur à un JavaScript obfusqué ou à une logique de ciblage sophistiquée. En attendant une réponse définitive d’Adobe, il est recommandé d’aborder cette menace comme une alerte sérieuse, voire prioritaire, même si certains aspects restent à confirmer indépendamment. Dans la cybersécurité, il est prudent d’attendre la validation officielle tout en renforçant ses contrôles.

Questions fréquentes

Adobe a-t-il confirmé l’existence de ce zero-day pour Reader ?
Pour le moment, il n’existe pas de bulletin officiel d’Adobe concernant ce cas précis. Le dernier avis publié, APSB26-26, daté du 31 mars 2026, ne mentionnait pas d’exploitation active pour les vulnérabilités corrigées.

Que fait concrètement le PDF malicieux selon les chercheurs ?
Il exécute un JavaScript obfusqué à l’ouverture, collecte des infos sur le système, peut accéder à certains fichiers locaux et les transmettre à un serveur distant, d’où pourrait également venir du code additionnel.

La prise de contrôle à distance est-elle confirmée ?
Pas encore de manière publique et complète. Les chercheurs expliquent que le mécanisme permettant de recevoir du code supplémentaire fonctionne, mais ils n’ont pas réussi à obtenir du serveur de l’attaquant le chargement final d’un RCE ou une évasion du sandbox dans leur environnement de test.

Quelles mesures adopter en attendant un correctif ?
Renforcer le filtrage et le scan des PDFs, se méfier des pièces jointes non sollicitées, surveiller les indicateurs de compromission (domaines, IP, user-agent), et appliquer la correction officielle d’Adobe dès qu’elle sera disponible.

Source : Alerte concernant un zero-day potentiel dans Acrobat Reader