[2026] 打开 PDF 文件也会感染？Adobe Reader 零日攻击 (CVE-2026-34621) 的完整故事

本文详细解释了 Adobe Reader 零日攻击 (CVE-2026-34621) 的机制、应对措施和 IOC（关注指标）。该漏洞于 2026 年 4 月被发现，极其危险，攻击者只需打开 PDF 文件即可窃取 PC 信息，甚至远程控制计算机。

什么是零日攻击？

零日攻击是指利用软件厂商尚未发现或尚未发布补丁修复的漏洞发起的网络攻击。之所以称为“零日攻击”，是因为从发现漏洞到厂商修复漏洞之间只有零天的时间。它源于“存在”的含义。

当零日漏洞被利用时，用户无法采取通常的安全补丁等防御措施，因此仅靠通用杀毒软件很难抵御此类攻击。2026 年 4 月发现的 Adobe Reader 零日攻击 (CVE-2026-34621) 就是一个典型的例子。只需打开 PDF 文件，攻击就会自动执行。此案因其极其危险而备受关注。

事件概要：一次潜伏了四个多月的零日攻击。
攻击机制：一个分三个阶段完成的网络攻击链
还发现了第二种变种：攻击者不断升级他们的版本。
目标群体是谁？俄语和石油天然气行业是关键关键词。
CVE-2026-34621是什么？它是该漏洞的官方识别编号。
侵权指标清单（IOC）：可用于内部监控的数据
您现在可以采取的行动：在补丁发布之前应该做什么
网络反应：安全研究人员的声音
常见问题解答 (FAQ)
参考文献和资料来源

1. 事件概述：一次潜伏了四个多月的零日攻击。

2026年4月7日，沙箱型漏洞检测系统“EXPMON”安全研究员创始人李海飞他披露了 Adobe Reader JavaScript 引擎中一个未修复的零日漏洞（后来注册为 CVE-2026-34621）。

2018 年，VirusTotal 上首次记录到利用此漏洞的攻击痕迹。 2025年11月28日而且，至少在2026年3月被发现之前是这样。大约4个月或更长时间经查明，这种零日攻击在世界各地持续了相当长一段时间而未被发现。

值得注意的是，VirusTotal 的初始检测率较低。 5/64检测率极低。由于它采用了先进的混淆技术和沙箱规避功能，因此被普通杀毒软件视为几乎无害。

[2026] 打开 PDF 文件也会感染？Adobe Reader 零日攻击 (CVE-2026-34621) 的完整故事

2. 攻击机制：一个分三个阶段完成的网络攻击链

这次零日攻击最显著的特点是用户打开 PDF 文件的那一刻，攻击就会自动开始。就这样。无需其他操作，例如点击链接或授予运行宏的权限。

攻击分为以下三个阶段：

第一阶段：加载器启动（自动执行）

PDF 中的隐藏表单字段（ btn1嵌入其中， JSFuck这段经过混淆处理的 JavaScript 代码会在 PDF 文件打开时自动触发。它会解码大量 base64 编码的代码，然后在 500 毫秒的延迟后执行（以避免被沙箱拦截）。

第二阶段：指纹采集（目标调查）

攻击代码利用 Adobe Reader API 从受感染的设备中收集以下信息：

操作系统的确切版本（ ntdll.dll （通过二元分析获得）
Adobe Reader 版本
语言设置和平台信息
卸载杀毒软件
PDF文件的本地路径

所有这些信息都是RSS.addFeed()它通过 API 发送到攻击者控制的 C2 服务器（命令与控制服务器）。传输时的用户代理是“Mozilla/3.0（兼容；Adobe Synchronizer 23.8.20533）”该过程伪装成合法的 Adobe 过程，旨在绕过正常的网络监控。

第三阶段：后续攻击（有条件）

C2服务器会根据收集到的信息选择攻击目标。只有符合攻击者设定条件的设备才会成为攻击目标。 AES-CTR 加密 + zlib 压缩这将传递一个额外的 JavaScript 有效载荷。该有效载荷如下：远程代码执行 (RCE)这有可能升级为沙盒逃生（SBX）场景。
另一方面，对于沙盒环境，它会直接返回 //（一个空的 JS 注释）以避免解析。

在利用李海飞自己的服务器进行的验证实验中，从 C2 返回的 JavaScript 实际上在 Adobe Reader 上执行。系统32已证实该漏洞可以读取目录中的PNG文件并将其发送到外部服务器。即使没有后续的远程代码执行，文件盗窃仅在第二阶段和第三阶段就已完成。这一点已经得到证实。

3. 还发现了第二个变种：攻击者不断升级他们的版本。

2026年4月8日，安全研究员格雷格·莱斯内维奇@greglesnewich 发现了一个新的变种。

研究员N3mes1s根据他在 GitHub 上发布的详细取证报告，v1（原型）和 v2（生产）的对比显示，攻击者进行了以下持续改进：

进一步增强代码混淆
缩小目标操作系统范围（移除对 Windows 7 的支持）
定期轮换C2服务器基础设施。

此外，C2 服务器日志显示了一个 /s12 端点，该端点似乎是为 Adobe Reader v25.x 准备的。 v3版本的开发工作正在进行中。有人认为情况可能确实如此。

4. 目标群体是谁？俄语和石油天然气行业是关键关键词。

研究员Gi7w0rm根据他的分析，攻击中使用的诱饵PDF文件是用俄语编写的，其内容是：俄罗斯石油和天然气行业的时事据透露，他曾提及此事。

N3mes1s 的法医分析确定了两种类型的样本。

样本	诱饵文件的内容	假定靶标
样品 1 (54077a5b)	应对天然气供应中断、工人安全风险、与地方当局合作以及公共通知的程序（俄语）	能源公司和关键基础设施运营商
样品 2 (65dca34b)	与莫斯科地址签订的组织间协议和合同（俄语）	俄语政府机构和私营组织

所有 PDF 元数据/Lang (en-US)设置配置如下，创建工具是 Python 库。 PyMuPDF标题故意匿名化为“空白页”。N3mes1s 声称此次攻击是由 N3mes1s 发起的。 “由国家支持的或高级持续性威胁（APT）组织进行的复杂间谍活动。”他们就是这么说的。

5. CVE-2026-34621 是什么？这是该漏洞的官方识别编号。

CVE-2026-34621这是最近发现的 Adobe Reader JavaScript 引擎零日漏洞的官方识别编号。CVE（通用漏洞披露）是一个用于唯一标识和跟踪漏洞的国际标准框架。

此漏洞所有版本的 Adobe Reader，包括最新版本。经证实，此方法可有效解决该问题，Adobe 已收到通知。截至撰写本文时（2026 年 4 月），官方尚未发布修复程序，但 Adobe 已发布紧急修复程序。尚未应用此补丁的用户应尽快更新至最新版本。

6. 侵权指标清单（IOC）：可用于内部监控的数据

通过在防火墙、EDR 和 SIEM 中注册以下 IOC，您可以检测并阻止这种零日攻击。

类型	价值	评论
C2 IP 地址	169.40.2.68:45191	v1 样本（拉脱维亚，VEESP）
C2 IP 地址	188.214.34.20:34123	v2 样本（塞浦路斯，EDIS GmbH）
领域	ado-read-parser.com / zx.ado-read-parser.com	注册日期：2025年2月6日，VT检测结果：0/94
用户代理	Mozilla/3.0（兼容；Adobe Synchronizer 23.8.20533）	伪装成 Adobe 流程
SHA-256（v1）	54077a5b15638e354fa02318623775b7a1cc0e8c21e59bcbab333035369e377f	Invoice540.pdf (VT 6/77)
SHA-256（v2）	65dca34b04416f9a113f09718cbe51e11fd58e7287b7863e37f393ed4d25dde7	由 EXPMON (VT 5/64) 检测到
注册表项	HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Adobe Reader Synchronizer	持久性机制
活动 ID	422974 （v1）/ 319988 （v2）	C2 URL 参数 &od= 包含

7. 您现在可以采取的行动：在补丁发布之前应该做什么

网络监控

Acrobat.exe和AcroRd32.exe最有效的设置是检测并阻止来自外部通信的 User-Agent 中包含“Adobe Synchronizer”的 HTTP 请求，将其视为发送到 Adobe 官方服务器以外的服务器。 &od=422974或者&od=319988请设置包含[此内容]的请求的提醒。

端点保护

来自 Adobe 流程ntdll.dll或者Bootsvc.dll请添加一条规则来检测对 [location] 的异常文件访问。此外， AdobeCollabSync.exe我们建议设置警报，以便在系统尝试连接到外部网络时收到通知。

用户培训和运营支持

不要打开来自未知发件人或您不认识的人的 PDF 文件（如果文件名伪装成发票或合同，则要格外小心）。
在工作终端上禁用 Adobe Reader 中的 JavaScript 执行（取决于环境）
使用防火墙或代理屏蔽上述IOC的IP地址和域名。
我们会持续关注 Adobe 的官方安全公告，并在补丁发布后立即应用。

8. 网络反响：安全研究人员的声音

在发现这一零日攻击后，安全界人士表达了各种不同的看法。

整个安全界“四个多月都没人发现。”许多人对此表示惊讶，并普遍感到危机迫在眉睫，认为“仅靠标准的事件数据审查（EDR）已不足以应对”。此外，目前仍在积极讨论有关APT组织参与的证据（俄语诱饵文件、涉及国家机密的内容）。

9. 常见问题解答 (FAQ)

问：Adobe Reader 的这个零日漏洞是否可以通过打开文件感染应用程序？

答：是的。此漏洞利用程序旨在PDF文件打开时自动执行，无需用户进行任何额外操作，例如点击链接或允许宏执行。因此，它极其危险。

问：普通的杀毒软件可以预防这种情况吗？

A. 目前，防范这种病毒极其困难。VirusTotal 的初始检测率极低，仅为 5/64，而且由于它采用了 JSFuck 等高级混淆技术和沙箱规避功能，因此标准杀毒软件极有可能将其视为无害文件。

问：CVE-2026-34621 的补丁程序发布了吗？

A. 漏洞被发现后，Adobe 已发布针对零日漏洞 (CVE-2026-34621) 的紧急修复程序。Adobe Reader 用户应立即更新至最新版本。作为应用补丁程序前的临时措施，我们建议您将本文中提到的入侵指标 (IOC) 注册到您的防火墙或 EDR 系统中，并对用户进行如何处理可疑 PDF 文件的培训。

问：如何检查我是否成为了零日攻击的受害者？

A. 检查内部网络日志， Acrobat.exe或者AcroRd32.exe从上述IOC的IP地址（169.40.2.68，188.214.34.20）和域名（ ado-read-parser.com请调查是否存在与该联系人通信的记录。另外，请检查注册表项。 HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Adobe Reader 同步字母“r”的存在也是需要确认的一点。