Adobe Reader を標的とする非常に高度なゼロデイPDF攻撃

公開 2026-04-10
Security

Summary

Adobe Readerを標的とした高度なゼロデイPDF攻撃が確認されています。PDFファイルを悪用した最新の攻撃手法やリスク、組織が取るべき対策について分かりやすく解説します。

この記事は、次のサイトを参考にしています。

EXPMON detected sophisticated zero-day fingerprinting attack targeting Adobe Reader users
https://justhaifei1.blogspot.com/2026/04/expmon-detected-sophisticated-zero-day-adobe-reader.html

本記事は、EXPMON（高度なエクスプロイト検知・解析基盤）が検出した、

Adobe Reader を標的とする非常に高度なゼロデイPDF攻撃の分析レポートです。

単なる脆弱性検証ではなく、

「実際に使われている可能性が高い、APTレベルの指紋収集型（fingerprinting）攻撃」

である点が最大の特徴です。

主なポイント

① 最新版 Adobe Reader にも有効なゼロデイ攻撃

攻撃は 執筆時点の最新版 Adobe Reader（26.x 系） でも成功
ユーザー操作は PDFを開くだけ
未修正（unpatched）の ゼロデイ脆弱性 を悪用

② 目的は「即RCE」ではなく高度な Fingerprinting

このPDFは、単に即座のマルウェア実行を狙うものではなく、

OSの正確なバージョン
Adobe Reader の詳細バージョン
言語設定
PDFのローカルパス
ローカルファイルの内容（例：DLL、画像など）

といった 詳細な端末情報を広範に収集・窃取 します。

これは 「次段攻撃の対象選別」 を目的とした、APTでよく見られる前段階の挙動です。

③ 権限昇格された Acrobat API の悪用

特に危険なのが以下の点です。

util.readFileIntoStream()
→ サンドボックス内とはいえ 任意ファイルの読み取りが可能
RSS.addFeed()
→ 外部サーバとの通信・追加JSコードの受信と実行

これらは 本来制限されるべき Acrobat の特権API であり、
ゼロデイとして悪用されている点が強調されています

④ C2サーバによる条件付き攻撃（APT的挙動）

攻撃用サーバはオンライン
ただし 全環境には追加ペイロードを返さない
環境情報に基づき「攻撃対象かどうか」を選別

実験的検証では、
条件を満たせば追加JavaScript（将来的なRCE/SBX）が実行可能 であることが確認されています

EXPMONの「Detection in Depth」による検出

今回の発見は、

シグネチャ検知ではなく
挙動・ログ・ビッグデータ分析を組み合わせた多層検知

によって行われました。

引用元サイトは、PDF JavaScript の柔軟性を逆手に取った攻撃に対抗するための高度検知機構であると説明しています。

[広告] フリーソフト不要｜ZIP作成・PDF結合・PDF押印をブラウザだけで実現

ZIP生成やPDF結合・押印などを完全ローカルで実行。閉域網・分離環境で業務向け。

回避策：Adobe Reader の JavaScript 無効化は有効か？

今回のEXPMONによる分析結果を踏まえると、
Adobe Reader の JavaScript を無効化することは、本攻撃に対して非常に有効な回避策であると考えられます。
※MS365 でも Adobe ReaderのJavaScriptを無効化することを推奨しています。（業務面で可能なら）

なぜ JavaScript 無効化が効くのか

本記事で確認されたゼロデイPDF攻撃は、以下のように Adobe Reader の JavaScript 実行機構を中核として成立しています。

PDF内で難読化された JavaScript を自動実行
RSS.addFeed() を悪用し、外部の攻撃者サーバと通信
util.readFileIntoStream() を用い、ローカルファイルを読み取り・窃取
収集した端末情報を送信し、条件次第で追加の JavaScript を受信・実行 1

これらはいずれも JavaScript が実行できなければ成立しない処理です。

そのため、

Adobe Reader で JavaScript を無効化すれば、少なくとも今回確認された攻撃チェーンは初期段階で遮断できる

とまとめることができます。

ただし「完全な対策」ではない点に注意

一方で、JavaScript 無効化だけで 万全とは言い切れない 点も重要です。

PDF攻撃は JavaScript 以外の経路が過去に存在しています。（フォント処理や画像レンダリング、ストリーム解析など）

そのため、将来の派生バリアントが非JavaScript型で登場する可能性は否定できません。

また、業務PDFとの両立が課題です。

入力フォームや自動計算、ボタン操作やワークフロー制御など、JavaScriptを前提としたPDFも少なくありません。そのため、全社一律で無効化すると業務影響が出る可能性があり、セキュリティと利便性のトレードオフという現実的な問題が生じます。

まとめ

今回のEXPMONの報告を踏まえると、Adobe ReaderのJavaScriptを無効化することは、このゼロデイPDF攻撃に対して非常に有効な回避策です。ただし、PDF攻撃が常にJavaScriptに依存するとは限らず、また業務上JavaScriptが必要なケースも存在します。そのため、JavaScript無効化は有効な第一防線ではあるものの、ネットワーク監視やPDF取り扱いルールと組み合わせた多層防御が不可欠と言えます。