事件背景与影响
近期，Adobe 发布紧急安全更新，修复了一个存在于 Acrobat 和 Acrobat Reader 中的关键漏洞（CVE-2026-34621）。该漏洞 CVSS 评分为 8.6（部分来源评估高达 9.6），目前已确认在野外被攻击者积极利用。
从我们的应急响应经验来看，PDF 阅读器作为办公环境中的高频软件，经常成为攻击者投放恶意代码的“跳板”。此次漏洞影响范围覆盖了 Windows 和 macOS 平台的多个版本，包括 Acrobat DC Continuous、Acrobat Reader DC Continuous 以及 Acrobat 2024 Classic 等。鉴于该漏洞已被用于实际攻击，建议企业安全团队立即排查内部资产，确保相关软件更新至官方发布的最新版本。
技术手法深度解析
本次漏洞的核心成因是“原型污染”（Prototype Pollution）。这是一种在 JavaScript 环境中较为常见的逻辑漏洞，攻击者通过向应用程序注入恶意输入，修改 JavaScript 对象的原型属性，进而影响继承该原型的所有对象。
在针对 Adobe Acrobat Reader 的攻击链中，攻击者利用了其对 PDF 文档处理的逻辑缺陷，通过精心构造的恶意 PDF 文件触发漏洞。根据分析，攻击流程大致如下：
- 初始投放：攻击者通过恶意 PDF 文件诱导用户打开，触发隐藏的 JavaScript 执行。
- 权限提升与信息窃取：利用原型污染漏洞，攻击者调用受限的 API（如 util.readFileIntoStream()）读取系统本地文件，窃取敏感数据。
- 后门交互：利用 RSS.addFeed() 等功能将窃取的数据外发至攻击者服务器，并接收后续的恶意载荷。
- 深度渗透：根据目标环境的敏感度，攻击者可进一步执行远程代码或尝试沙箱逃逸，从而完全控制目标主机。
这一环节是很多企业容易忽视的，因为这类攻击往往能够绕过传统的杀毒软件检测，在 VirusTotal 上的检出率极低。
Solar 应急响应团队建议
类似攻击近年来明显增加，尤其是针对特定行业和高价值目标的“定制化”利用。针对此类高危漏洞，我们建议采取以下措施：
首先，全量资产清点与升级。应优先对财务、法务、行政等高频使用 PDF 阅读器的部门进行版本核查，确保所有 Adobe 相关软件已更新至厂商提供的安全补丁版本。
其次，加强边界与终端防御。单纯依靠传统的特征库查杀已不足以应对此类零日漏洞。企业应部署具备深度内容检测能力的终端检测与响应系统（EDR），并监控异常的 API 调用行为，如 PDF 阅读器程序尝试读取非文档类敏感文件或发起异常网络连接。
最后，建立最小权限原则。限制办公终端对外部网络的不必要访问，尤其是对未知的 RSS 订阅源或脚本执行权限进行严格管控，能有效阻断攻击链的后续交互。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com