Impatto Sistemico

Critico (77.69)

Sintesi

Rilevato lo sfruttamento attivo in rete e disponibilità di relativo Proof of Concept (PoC) relativi alla vulnerabilità CVE-2026-34621 che interessa Adobe Acrobat / Adobe Reader, noto software per la gestione di documenti in formato PDF. Tale vulnerabilità, qualora sfruttata, consente l’esecuzione di codice arbitrario sui dispositivi target a seguito dell’apertura di documenti PDF opportunamente predisposti.

Tipologia

• Arbitrary Code Execution

Descrizione e potenziali impatti

È stato rilevato lo sfruttamento di una vulnerabilità zero‑day identificata tramite la CVE – 2026 – 34621, con CVSS v3.x pari a 8.6, di tipo “ Improperly Controlled Modification of Object Prototype Attributes (Prototype Pollution) ”. La vulnerabilità risulterebbe sfruttata mediante documenti PDF contenenti codice JavaScript offuscato, il quale tramite chiamate opportunamente predisposte ad API consentite, è in grado di aggirare l’ambiente sandbox applicativo e accedere ad API privilegiate. L’attacco può portare all’esecuzione di codice arbitrario nel contesto dell’utente corrente, con potenziali impatti su riservatezza, integrità e disponibilità dei sistemi coinvolti.

Prodotti e/o versioni affette

• Adobe Acrobat DC, versioni precedenti alla 26.001.21411
• Adobe Acrobat Reader DC, versioni precedenti alla 26.001.21411
• Adobe Acrobat 2024, versioni precedenti alla: 24.001.30362 (Windows), 24.001.30360 (Mac)

Azioni di Mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Inoltre, si raccomanda di valutare la verifica e l’implementazione degli Indicatori di Compromissione (IoC) ¹ forniti nell’apposita sezione.

In particolare, si condivide una regola Snort sviluppata da questo CSIRT per facilitare l’identificazione di possibili tentativi di sfruttamento, compatibile con Snort v3.1.24.0+. Si precisa che, in funzione delle specifiche configurazioni di rete e delle applicazioni in uso, potrebbe generare falsi positivi. Eventuali falsi positivi possono essere condivisi tramite i canali ufficiali reperibili sul portale CSIRT Italia del sito ACN.

Qualora si riscontrino evidenze di avvenuta compromissione sui propri sistemi, si raccomanda agli utenti e alle organizzazioni di attuare le seguenti azioni:

• collezionare eventuali evidenze, quali processi/servizi in esecuzione su dispositivi target, log di rete e log di autenticazione considerati non convenzionali;
• porre in isolamento e/o offline gli host potenzialmente interessati dalla compromissione;
• ripristinare gli host compromessi a un’immagine precedente consistente (dopo aver espletato le necessarie attività forensi);
• resettare gli account degli utenti interessati dalla compromissione;
• segnalare tempestivamente a questo CSIRT, tramite il portale https://segnalazioni.acn.gov.it/ l’evento occorso.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.