2026. április 9-én nyilvánosságra került, hogy egy eddig javítatlan Adobe Reader sérülékenységet legalább 2025 decembere óta aktívan kihasználnak rosszindulatúan kialakított PDF dokumentumokon keresztül. A kampány különösen azért aggasztó, mert a publikált információk szerint a támadás a legfrissebb Adobe Reader verzión is működhet, és a felhasználó részéről elegendő lehet pusztán a PDF megnyitása.

A rendelkezésre álló információk alapján a támadók nem egyszerűen egy PDF megjelenítési hibát használnak ki, hanem olyan láncot, amely alkalmas lehet helyi információk begyűjtésére, majd bizonyos környezetekben további exploitok, akár távoli kódfuttatási vagy sandbox escape komponensek elindítására is. A rosszindulatú PDF a util.readFileIntoStream() Acrobat API segítségével helyi fájlokhoz férhet hozzá, míg az RSS.addFeed() API a megszerzett adatok távoli szerverre továbbítására, illetve további kártékony JavaScript letöltésére használható.

A publikált elemzések alapján a kampány nem tömeges, válogatás nélküli fertőzésre utal, hanem inkább célzott műveletre. A dokumentumok orosz nyelvű csalikat tartalmaztak, és az orosz olaj- és gázipari szektor aktuális eseményeire utaltak. Ez arra enged következtetni, hogy a támadók tematikusan illesztett, hitelesnek tűnő tartalmakkal próbálták rávenni az érintetteket a PDF megnyitására, vagyis klasszikus spear-phishing logikát kombináltak egy kifinomult kliensoldali exploit-tal.

A kutatók tesztkörnyezetben ugyan kapcsolódtak a távoli szerverhez, de további exploitkódot nem kaptak vissza. Ennek egyik valószínű magyarázata az, hogy a támadók környezetfüggő feltételek alapján döntenek a következő lépcső kiadásáról. Ez a megközelítés a modern exploit láncok ismert mintázata. A kezdeti komponens előszűri az áldozatot, ellenőrzi a környezetet, majd csak megfelelő célpont esetén aktiválja a modulokat.

A hálózati forgalomban megfigyelhető az Adobe Synchronizer karakterlánc a User-Agent fejlécben, ezért ennek monitorozása vagy blokkolása átmeneti mitigációként szóba jöhet. Ez természetesen nem helyettesíti a gyártói javítást, de jó ideiglenes detekciós intézkedés lehet, különösen olyan környezetekben, ahol az Adobe Reader üzleti okból nem kapcsolható ki.