【緊急】Adobe Readerゼロデイ攻撃が進行中！PDFを開くだけで乗っ取り─72時間以内に更新を

2026年4月11日、AdobeはAdobe AcrobatおよびReaderに存在する深刻なゼロデイ脆弱性（CVE-2026-34621）に対する緊急セキュリティアップデートを公開しました。この脆弱性は2025年12月から少なくとも約4か月間にわたって実際の攻撃に悪用されており、PDFファイルを開くだけでシステムが乗っ取られる可能性がある、極めて危険な欠陥です。

Adobeはこのパッチを「Priority 1（最優先）」に分類しており、すべてのユーザーに対して72時間以内の適用を強く推奨しています。本記事では、この脆弱性の仕組み、具体的な対策手順、そして今すぐ気をつけるべきポイントをわかりやすく解説します。

1. Adobe Readerのゼロデイ攻撃とは？わかりやすく解説

そもそも「ゼロデイ攻撃」とは？

ゼロデイ攻撃とは、ソフトウェアの開発元が脆弱性を認識して修正パッチを出す「前」に、攻撃者がその脆弱性を悪用する攻撃のことです。つまり、ユーザーが守る手段を持たない状態で攻撃が行われるため、非常に危険です。

今回のケースでは、セキュリティ研究者のHaifei Li氏（EXPMON開発者）が発見・報告するまで、Adobeも脆弱性の存在を把握していませんでした。その間、攻撃者たちは少なくとも2025年12月からこの欠陥を利用した攻撃を実行し続けていたのです。

今回の脆弱性（CVE-2026-34621）の概要

どうやって攻撃されるのか？

今回の攻撃の流れを簡単にまとめると、以下のようになります。

「プロトタイプ汚染」とは？

今回の脆弱性は技術的には「プロトタイプ汚染（Prototype Pollution）」と呼ばれるJavaScriptの脆弱性です。簡単に言うと、JavaScriptのオブジェクト構造の「設計図」にあたる部分を書き換えることで、本来アクセスできないはずの特権的な機能を乗っ取る手法です。

攻撃者はこの手法を使って、Adobe Readerのサンドボックス（安全な隔離環境）を突破し、システム上で自由にコードを実行できる状態を作り出していました。

2. 対応策 ─ 今すぐやるべきことを解説

【最優先】Adobe Acrobat / Readerを最新版に更新する

Adobeは2026年4月11日にセキュリティ情報APSB26-43を公開し、CVE-2026-34621に対する修正パッチをリリースしました。これが最も重要かつ効果的な対策です。

企業のIT管理者の方は、Adobeのリリースノートページからフルインストーラーをダウンロードして、GPOやSCCMなどの管理ツールで一括配布することも可能です。

【補助的対策】パッチ適用までの防御策

すぐにアップデートできない場合や、追加の防御レイヤーとして、以下の対策も有効です。

3. 今、気をつけること

PDFファイルの取り扱いに最大限の注意を

PDFは日常的に使うファイル形式だからこそ、多くの人が警戒心なく開いてしまいます。今回の攻撃では、実際に「請求書」を装ったファイル名が使われており、ビジネスシーンで受け取れば自然に開いてしまう巧妙な手口です。

スマートフォンユーザーは？

今回の脆弱性はWindowsとmacOSのデスクトップ版が対象です。iOSやAndroid版のAdobe Acrobat Readerは、今回の特定の攻撃手法（x86/x64アーキテクチャを対象としたもの）の影響を受けないとされています。ただし、モバイル版にも別の脆弱性が存在する可能性はあるため、常に最新版に保つことをおすすめします。

この攻撃の背景

セキュリティ研究者の分析によると、攻撃に使われたPDFにはロシア語のコンテンツが含まれており、ロシアの石油・ガスセクターに関連する内容が記載されていたことが確認されています。特定のターゲットを狙った標的型攻撃の可能性が高いですが、今後このタイプの攻撃が広範に拡大する恐れもあります。

まとめ

Adobe Readerのゼロデイ脆弱性CVE-2026-34621は、PDFを開くだけで攻撃が成立するという極めて深刻な問題です。2025年12月から約4か月間にわたって「野放し状態」で悪用されており、すでにAdobeから緊急パッチが公開されています。

やるべきことは明確です。今すぐAdobe Acrobat / Readerを最新版にアップデートしてください。そして、不審なPDFファイルへの警戒を怠らないようにしましょう。