Adobe Acrobat CVE-2026-34621：影響版・修正版とPDF受信時の初動対応

何が起きたか：Adobeが悪用を確認した脆弱性を修正

Adobeは2026年4月11日付の APSB26-43 で、Acrobat・ReaderのCVE-2026-34621に対応する更新を公開しました。公式情報では、任意コード実行につながり得る脆弱性で、実際の悪用を認識していると説明しています。Windows・macOSの対象製品を使う個人・情シスは、製品、更新トラック、稼働版を確認してください。

不審なPDFを開いた場合は、更新と別に操作の記録・報告・端末の確認が必要です。「PDFを開けば必ず感染」「更新だけで過去の侵害も解消」とは判断できません。

2026年10月10日にAdobe公式情報へ再照合し、旧記事のAPSB26-11という番号をAPSB26-43へ訂正しました。未確認の検知率・被害時系列と、攻撃再現につながる詳細も削除しました。

影響版と対象CVEの修正版

Adobe公式アドバイザリに記載された情報です。この表は対象CVEの修正時点を示すもので、現在の最新版の一覧ではありません。

製品・トラック	影響版	掲載された修正版
Acrobat DC・Continuous	26.001.21367以前	26.001.21411
Acrobat Reader DC・Continuous	26.001.21367以前	26.001.21411
Acrobat 2024・Classic 2024	24.001.30356以前	Windows: 24.001.30362／macOS: 24.001.30360

Adobeは4月12日にCVSSの攻撃元区分を修正し、基本値を9.6から8.6へ改訂しています。後から変わる情報があるため、数値だけで優先順位を決めず、悪用情報と自社の利用状況を合わせて判断します。

個人・情シスがまず確認すること

• インストールされている製品名、更新トラック、OS、実際の稼働版を確認する。
• 管理端末だけでなく、在宅・持ち出し・共有端末も対象に含める。
• 更新が配布済みでも、端末で適用されたか、アプリを再起動したか確認する。
• Adobeの公式案内で、現在提供される更新と管理環境の展開方法を照合する。
• 不審なPDFを開いた場合は、受信・開いた時刻、対象端末、操作を記録する。
• 添付原本とメールを所定の窓口で扱い、広く転送したり再度開いたりしない。

• 対象を特定

  製品・OS・トラック・稼働版を確認。

• 公式更新

  管理方針に沿って配布し、端末上で適用結果を確認。

• 操作を報告

  不審なPDFを開いた時刻と操作を記録し、端末ログへ照合。

初動対応とエスカレーション判断

対象版が未更新なら、所有者と展開担当者を決め、業務影響を確認して対応します。不審なPDFを開いた、アプリや端末に異常がある、ログに不審な動作がある場合は、通常の更新作業だけで終えずセキュリティ窓口へ報告してください。

隔離や停止は、組織のインシデント対応手順に沿って判断します。報告・封じ込め・証跡保全は並行して進めます。技術的な確認が終わるまで利用者に報告を待たせません。

JavaScript無効化などの設定変更を、公式修正の代わりとして一律に案内することはしません。必要な暫定措置は公式情報と自社の業務要件へ照合してください。

やってはいけないこと・記録すべきこと

確認のために不審なPDFを別の利用者へ開かせないでください。非公式な更新サイトからインストーラーを取得したり、調査前にメールやログを削除したりしません。

記録するのは製品・OS・トラック・版、更新結果、端末、受信・操作時刻、原本の管理場所、確認事実、未確認事項、対応者、承認、再確認です。機密文書を一般の外部解析サービスへ送ることも、承認なく行わないでください。

対応後の確認と関連ページ

対象端末の稼働版、正規のPDF閲覧や業務機能、監視と調査の継続を確認します。未更新・オフラインの端末は残課題として管理します。

更新管理の基本、フィッシングメール点検、報告プレイブック、CVEとCVSSの違い、KEVへ進めます。

公式情報・参考情報

• Adobe: APSB26-43 — 影響版、修正版、悪用確認、CVSS改訂
• CISA Known Exploited Vulnerabilities Catalog — CVE-2026-34621の悪用確認と対応案内