Adobe Reader revient en cybersécurité suite à la découverte d’un zero-day potentiellement exploité via des PDF manipulés. Le chercheur Haifei Li (EXPMON) affirme avoir découvert un échantillon abusant des API privilégiées d’Acrobat Reader, même à jour. Aucun correctif spécifique d’Adobe n’a été identifié. Il suffit d’ouvrir le document pour que du JavaScript obfusqué s’exécute, collectant langue système, version OS, version Reader et chemin local du PDF — un fingerprinting avancé.
Le problème technique : des API privilégiées exposées
L’exploit abuse util.readFileIntoStream() pour accéder aux fichiers locaux et RSS.addFeed() pour exfiltrer ou recevoir du code. Pas encore de RCE complète démontrée publiquement, mais la capacité de lire des fichiers locaux et d’exécuter du JavaScript distant est confirmée. Les leurres observés sont liés au secteur pétrole/gaz en russe, suggérant une campagne ciblée. Cette menace illustre pourquoi des acteurs comme Palo Alto Networks renforcent la sécurité de confiance nouvelle génération.
Campagne possiblement active depuis novembre 2025
Adobe a publié le bulletin APSB26-26 en mars 2026 corrigeant des vulnérabilités critiques, mais ce zero-day serait distinct. Help Net Security situe l’exploitation à novembre 2025 ou avant. Le PDF reste l’un des formats les plus utilisés en entreprise et administration — un Reader vulnérable touche une surface d’attaque massive. Les PME identifiées par SonicWall comme particulièrement vulnérables sont les plus exposées à ce type de menace.
Mesures de protection
En l’absence de correctif : renforcer l’analyse automatique des PDF, filtrer les pièces jointes suspectes, former les utilisateurs, éviter d’ouvrir des PDF non fiables avec Adobe Reader. Indicateurs de compromission : domaine ado-read-parser[.]com, user-agent « Adobe Synchronizer ».
Questions fréquentes
Adobe a-t-il confirmé ce zero-day ?
Non, pas de bulletin officiel pour ce cas. Le dernier avis APSB26-26 ne mentionnait pas d’exploitation active.
Que fait le PDF malveillant ?
JavaScript obfusqué à l’ouverture, fingerprinting système, accès fichiers locaux et exfiltration vers serveur distant.
La prise de contrôle à distance est-elle confirmée ?
Pas encore publiquement. Le mécanisme de réception de code fonctionne mais le RCE complet n’a pas été démontré dans les tests publics.
Quelles mesures adopter ?
Filtrage PDF, formation utilisateurs, surveillance des IoC, et patch Adobe dès disponible.