Adobe parchea el defecto CVE-2026-34621 de Acrobat Reader explotado activamente

Adobe ha valiente actualizaciones de emergencia para corregir una error de seguridad crítica en Acrobat Reader que ha sido explotada activamente en la naturaleza.

La vulnerabilidad, asignada al identificador CVE. CVE-2026-34621tiene una puntuación CVSS de 8,6 sobre 10,0. La explotación exitosa de la error podría permitir a un atacante ejecutar código bellaco en las instalaciones afectadas.

Se ha descrito como un caso de contaminación de prototipos que podría dar empleo a la ejecución de código improcedente. La contaminación de prototipos se refiere a una vulnerabilidad de seguridad de JavaScript que permite a un atacante manipular los objetos y propiedades de una aplicación.

El problema afecta a los siguientes productos y versiones tanto para Windows como para macOS:

• Versiones de Acrobat DC 26.001.21367 y anteriores (corregido en 26.001.21411)
• Acrobat Reader DC versiones 26.001.21367 y anteriores (corregido en 26.001.21411)
• Acrobat 2024 versiones 24.001.30356 y anteriores (corregido en 24.001.30362 para Windows y 24.001.30360 para macOS)

Adobe reconoció que está “al tanto de que CVE-2026-34621 está siendo explotado en la naturaleza”.

El expansión se produce días a posteriori de que el investigador de seguridad y fundador de EXPMON, Haifei Li, revelara detalles de la explotación de día cero de la error para ejecutar código JavaScript bellaco al aclarar documentos PDF especialmente diseñados a través de Adobe Reader. Hay evidencia que sugiere que la vulnerabilidad puede acaecer estado bajo explotación desde diciembre de 2025.

“Parece que Adobe ha determinado que el error puede conducir a la ejecución de código improcedente, no sólo a una fuga de información”, dijo EXPMON en una publicación en X. “Esto se alinea con nuestros hallazgos y los de otros investigadores de seguridad en los últimos días”.

(La historia se actualizó a posteriori de la publicación para reverberar el cambio en la puntuación CVSS de 9,6 a 8,6. En una revisión de su aviso del 12 de abril de 2026, Adobe dijo que ajustó el vector de ataque de Red (AV:N) a Recinto (AV:L).)