AdobeReader ZeroDay in freier Wildbahn

Am Von In UP2DATE

This content is protected against AI scraping.

Update, 2026-04-11: Adobe veröffentlichte den Patch. Jetzt! updaten, falls Sie AdobeReader verwenden sollten!

Das EXPMON-Sicherheitsteam detektierte am 26. März 2026 einen hochkomplexen Zero-Day-PDF-Exploit, der Adobe Reader-Nutzende angreift. Der Angriff erfolgt ausschließlich durch das Öffnen einer verseuchten PDF-Datei – keine weitere Nutzerinteraktion ist erforderlich.

Die Schwachstelle liegt in der missbräuchlichen Nutzung privilegierter Acrobat-JavaScript-APIs innerhalb der PDF-Umgebung. Konkret werden zwei APIs ausgenutzt:

  • util.readFileIntoStream(): Ermöglicht das Auslesen beliebiger lokaler Dateien durch den sandgeboxten Reader-Prozess
  • RSS.addFeed(): Dient der Kommunikation mit einem Command-and-Control-Server (169.40.2.68:45191) zum Senden gestohlener Daten und zum Empfang weiterer JavaScript-Payloads

Der stark verschleierte JavaScript-basierte Exploit führt umfangreiches System-Fingerprinting durch (Betriebssystemversion, Adobe-Version, lokale Pfade) und ermöglicht Datendiebstahl ohne jegliche Benutzeraktion. Zusätzlich besteht die Möglichkeit, nachgelagerter Remote Code Execution (RCE) und Sandbox-Escape (SBX)-Angriffe, wobei diese sekundären Payloads während der Analyse wohl nicht ausgeliefert wurden. Gerichtet sei der Angriff auf Grund entdeckter in russischer Sprache verpackter Köder im Zusammenhang mit der Öl- und Gasindustrie des Landes (Gi7w0rm) aktuell gegen russischsprachige Nutzer:innen. Bekanntlich kann sich ein solcher Exploit aber auch schnell ausweiten.

Ein neuerer Varianten-Treffer (188.214.34.20:34123) zeige, dass die Kampagne seit mindestens November 2025 aktiv ist. Als Abwehrmaßnahmen werden Blockade der bekannten IP-Adressen, Überwachung von HTTP/Traffic mit „Adobe Synchronizer“ im User-Agent und vorsichtiger Umgang mit PDFs von nicht vertrauenswürdigen Quellen empfohlen.

[https://justhaifei1.blogspot.com/2026/04/expmon-detected-sophisticated-zero-day-adobe-reader.html]
[https://x.com/Gi7w0rm/status/2042003381158379554]

Beitragsbild KI-generiert.