Die Sicherheitslücke CVE-2026-34621 resultiert aus fehlerhafter Behandlung von Änderungen an Prototype-Attributen in Adobe Reader und Acrobat. Laut Adobe kann diese Schwachstelle direkt zur Codeausführung mit hohen Privilegien führen – ein Szenario, das Angreifern ermöglicht, Systeme vollständig zu übernehmen.
Die Patches stehen nun für mehrere Versionen zur Verfügung: Acrobat DC und Reader DC in Version 26.001.21411 sowie Acrobat 2024 in den Versionen 24.001.30362 und 24.001.30360. Adobe empfiehlt allen Nutzern dringend, die Updates sofort einzuspielen.
Entdeckt wurde die Zero-Day-Lücke von Haifei Li, einem anerkannten Sicherheitsforscher, der zuvor bei Fortinet, McAfee, Microsoft und Check Point beschäftigt war. Li ist Gründer von Expmon, einer Sandbox-Lösung zur Erkennung dateibasierter Exploits. Bei der Analyse eines in Expmon hochgeladenen PDF-Exploits stieß er auf die Schwachstelle. Während die ursprüngliche Analyse Informationsdiebstahl als primäres Ziel identifizierte, deuteten nachfolgende Exploit-Stufen bereits auf mögliche Codeausführung hin.
Besonders besorgniserregend ist der Zeitrahmen: Forensische Untersuchungen zeigen, dass Exploit-Samples bereits seit November 2025 in Umlauf sind. Das deutet darauf hin, dass Angreifer diese kritische Lücke über Monate hinweg unbemerkt ausnutzen konnten. Sicherheitsanalysten deuten auf eine APT-Gruppe hin, die hinter den Angriffen steckt. Beobachtungen zeigen, dass die bösartigen PDF-Dateien russischsprachige Köder und Verweise auf aktuelle Ereignisse im russischen Öl- und Gassektor verwendeten – ein klassisches Zeichen für gezielte Spionage-Operationen.
Der Sicherheitsforscher Li hat technische Details zur Lücke veröffentlicht und die Community mit Indicators of Compromise (IoCs) ausgestattet, um Kompromittierungen zu erkennen. Dies ermöglicht Unternehmen und Behörden, ihre Systeme auf mögliche Anzeichen von Ausnutzung zu überprüfen.
Für deutsche Organisationen ist diese Entwicklung ein deutliches Warnsignal. PDFs sind ein bevorzugtes Angriffsvehikel, da sie als vertrauenswürdig wahrgenommen werden. In Kombination mit Social Engineering und Spear-Phishing-Kampagnen können solche Lücken zu Datenbankraub oder Spionage führen. Weitere Analyseergebnisse der Cybersecurity-Community werden in den kommenden Tagen erwartet und könnten die Identität der Angreifer sowie betroffene Organisationen offenlegen.