JPCERT/CCは、Adobe AcrobatおよびAdobe Readerにおける複数の脆弱性について注意喚起を公表した。細工されたPDFファイル等を介して、任意のコード実行や情報漏えい、サービス妨害につながるおそれがある。
脆弱性の詳細
JPCERT/CCは、Adobeが公開したセキュリティ情報（APSB26-63）に基づき、Adobe AcrobatおよびAdobe Readerに複数の脆弱性が存在すると公表した。攻撃者は、細工されたPDFファイルをユーザに開かせることで、影響を受ける環境で不正な動作を引き起こす可能性がある。
CVE番号・CVSSスコア：JPCERT/CCの注意喚起本文では個別のCVE番号およびCVSSスコアは明示されていない。
攻撃ベクタ：ユーザ操作を伴い、細工されたファイルを開くことを起点として影響が発現する可能性がある。
悪用リスク：当該脆弱性が悪用された場合、任意のコード実行、情報の取得、アプリケーションの異常終了などにより業務継続へ影響が及ぶおそれがある。
影響を受ける製品・バージョン
- Adobe Acrobat
- Adobe Reader
- Adobeがセキュリティ情報（APSB26-63）で影響を受けるとするバージョン
推奨される対策
- アップデートの適用：Adobeが提供する修正済み更新版を適用する。組織内で配布されている端末（PC、VDI、共有端末）を含め、対象製品が導入されている全端末で更新状況を確認し、計画的に適用する。
- 更新適用までのリスク低減：更新完了までは、不審な添付ファイルや入手経路が不明なPDFを開かない運用を徹底する。
- アプリケーション実行の制御：業務上不要な機能や外部から持ち込まれたファイルの取り扱いを見直し、組織のポリシーに沿って実行制御（アプリ許可制、保護ビュー等）を適用する。
- ログと検知の強化：端末のセキュリティ製品（EDR/AV）やOSの監査ログで、Acrobat/Reader起点の異常なプロセス生成やクラッシュ多発などの兆候を確認できるようにし、インシデント対応に備える。
日本の中小企業が今すぐ取るべき行動
- 優先度1：資産把握と更新状況の棚卸し：社内のどの端末にAcrobat/Readerが入っているか、どの版かを洗い出し、未更新端末を特定する。
- 優先度2：更新適用の即時実施：影響を受ける端末から順に更新を適用する。まずはインターネット閲覧やメール添付の受信が多い端末（総務、営業、経理等）を優先する。
- 優先度3：不審ファイル対策の社内周知：ユーザ操作が起点となる可能性があるため、更新完了までの間、外部から届いたPDFの取り扱い手順（送信元確認、業務必要性の確認、隔離・相談窓口）を短文で周知する。
- 優先度4：メール・共有ストレージの運用見直し：添付ファイルの自動展開や安易な社内共有を避け、疑わしいファイルを隔離できる運用（受領フォルダ分離、スキャン後の受け渡し）を設定する。
- 優先度5：インシデント対応の準備：万一の際に備え、端末隔離、初動連絡先、証跡保全（ログ取得、対象ファイルの保管）を簡易手順としてまとめ、担当者間で共有する。
参照: 注意喚起: Adobe AcrobatおよびReaderの脆弱性（APSB26-63）に関する注意喚起 (公開)