JPCERT/CCは、アドビから公開されたAdobe AcrobatおよびAdobe Acrobat Readerに関するセキュリティ情報（APSB26-141）を受け、複数の脆弱性について注意喚起を行っている。脆弱性を悪用したPDF等のコンテンツをユーザーが開いた場合、任意コード実行などにつながるおそれがあるため、ベンダーが提供する更新プログラムの適用による対策が推奨される。
脆弱性の詳細
JPCERT/CCは、PDFファイル作成・変換ソフトウェアであるAdobe AcrobatおよびPDFファイル閲覧ソフトウェアであるAdobe Acrobat Readerに複数の脆弱性が存在すると公表している。攻撃者は、脆弱性を悪用するよう細工したPDFファイルなどのコンテンツをユーザーに開かせることで、アプリケーションの誤動作を引き起こし、任意のコード実行や特権昇格、ファイルシステムの不正読み書き、メモリ情報の露出、アプリケーションのサービス拒否（クラッシュなど）といった影響を与える可能性がある。これらの脆弱性は重大度が高く評価されており、業務端末に広く導入されている製品であることから、早期の対策が求められる。
CVE番号・CVSSスコア：本注意喚起は、Adobeが公開したセキュリティ情報APSB26-141に基づいている。個々の脆弱性のCVE番号およびCVSSスコア、影響範囲（任意コード実行、特権昇格、任意ファイルシステム読み書き、メモリ露出、サービス拒否など）は、アドビのセキュリティ情報本文に一覧として記載されているため、自社の資産台帳に登録されている対象製品・バージョンと突合し、該当するCVEを確認することが重要である。
攻撃ベクタ：JPCERT/CCによると、主な攻撃の起点は、ユーザーが外部から入手したPDFファイル等のコンテンツを開くこととされる。メール添付ファイル、ファイル共有サービス、Webサイトからのダウンロードなど、日常的な業務の中でよく利用される経路が悪用される可能性があり、利用者が違和感なく開いてしまうシナリオでも攻撃が成立し得る。
悪用リスク：JPCERT/CCは、Adobeが提供する更新プログラムの適用を促しており、脆弱性を放置した場合、マルウェア感染や端末の乗っ取り、情報漏えいなどの二次被害につながるおそれがあるとしている。特に、外部から受領した文書（PDFなど）を日常的に扱う部門（総務、経理、営業など）を起点に、組織内全体へ侵害が拡大するリスクがあるため、当該部門を含めた広範な対策が必要となる。
影響を受ける製品・バージョン
- Adobe Acrobat Continuous（26.002.21900）およびそれ以前（Windows、macOS）
- Adobe Acrobat Reader Continuous（26.002.21900）およびそれ以前（Windows、macOS）
- Adobe Acrobat 2024 Classic 2024（24.001.30383）およびそれ以前（Windows、macOS）
- 上記のうち、ベンダーが提供する修正版（セキュリティアップデート）未適用のバージョン
推奨される対策
- 修正版へのアップデート：JPCERT/CCは、Adobeが提供する最新の修正版へ更新するよう注意喚起している。Adobe AcrobatおよびAdobe Acrobat Readerを、APSB26-141に基づきアドビが案内している最新版（例：Adobe Acrobat/Reader Continuous 26.002.21901、Adobe Acrobat 2024 Classic 24.001.30429など）に更新することが推奨される。社内PCにインストールされているAcrobat/Readerを対象に、これらのバージョンへの更新が完了しているかを確認する。
- 更新の適用状況を可視化：端末台数が多い場合は、資産管理ツールやソフトウェア配布機能を用いて、未更新端末を特定し、優先的に更新を適用する。管理対象外となっている端末がないかを確認し、更新の抜け漏れを防ぐ。
- 業務手順の一時的な強化：更新完了までの間は、外部から届くPDFファイルの取り扱いを慎重にし、差出人や依頼元が不明なファイルは開かず、担当者や上長による確認を挟む運用に切り替える。必要に応じて、PDFファイルを開く前に社内のセキュリティ担当部署へ相談する体制を整える。
- 最小権限の徹底：一般利用者に管理者権限を付与しないようにし、アプリケーションやOSの更新・インストールは管理者（IT担当者など）が行う運用とする。万一不正な動作が発生した場合でも、ユーザー権限が制限されていれば被害を一定程度抑えられるため、基本的なセキュリティ対策として有効である。
- 検知・隔離の整備：EPP/EDRなどのエンドポイントセキュリティ製品のアラート機能を有効化し、PDF閲覧ソフトを起点とした不審なプロセス実行や外部通信が発生した際に、端末隔離やログ保全ができる手順を事前に確認しておく。インシデント発生時に迅速に対応できるよう、運用手順書の整備と担当者教育を行う。
日本の中小企業が今すぐ取るべき行動
- 最優先：社内のAcrobat/Readerの利用実態を洗い出す：インストールされている端末、バージョン、更新方式（自動更新／手動更新／ベンダー保守）を一覧化し、管理されていない端末をなくす。テレワーク端末や持ち出し用ノートPCなども含めて、抜け漏れのない棚卸しを行う。
- 次に：修正版の適用計画を立てて当日中に着手する：業務影響が小さい端末から順に更新しつつ、営業・経理・総務など外部文書を多く扱う端末を優先して更新する。必要に応じて、業務時間外や休憩時間帯に更新を実施するなど、業務影響を抑えつつ早期完了を目指す。
- 並行して：メール添付PDFの取り扱いルールを周知する：更新完了までの暫定措置として、差出人不明または依頼内容が不自然なメールに添付されたPDFは開かず、必ず差出人や社内担当者へ確認する運用を明文化し、全社員に周知する。併せて、怪しいファイルを発見した場合の連絡フローも記載しておく。
- あわせて：インシデント対応の連絡経路を再確認する：不審な挙動（勝手にアプリケーションが終了する、見慣れない警告が表示される、プロセス数が急増するなど）を見つけた際の連絡先（社内IT担当者、外部保守ベンダーなど）や、ネットワークから端末を切り離す手順を共有する。これにより、万一攻撃が試行された際にも被害の拡大を防ぎやすくなる。
CSRIからの現場アドバイス
実際のペネトレーションテストやセキュリティ診断では、PDF閲覧ソフトが「インストールされているが更新されていない」端末が攻撃の起点になりやすい。診断報告書でよく指摘されるのは、部門PCの自動更新が無効化されている、あるいはソフトウェア配布・更新手順が属人化していて一部端末だけ更新が遅れる、といった運用上の問題である。
例えるなら、毎日使う書類ケースの鍵が古いままで、開け方を知っている人には簡単に開けられてしまうような状態と言える。つまり、怪しいPDFをうっかり開いてしまうだけで、攻撃者にパソコン内部へ侵入する入口を与えてしまう可能性があるため、鍵（＝ソフトウェアのバージョン）を最新のものに保つことが重要である。
まず、社内の各端末でAdobe AcrobatおよびAdobe Acrobat Readerのバージョンを確認し、APSB26-141に対応した修正版が適用されている端末と未適用の端末を分けて把握する。次に、社内のIT担当者（または保守ベンダー）に対し、更新プログラムの一括適用と未更新端末の洗い出しを早急に実施するよう依頼し、具体的な完了期限を設定することで、対策の抜け漏れを防ぐ。
参照: 注意喚起: Adobe AcrobatおよびReaderの脆弱性（APSB26-141）に関する注意喚起 (公開)