Adobe AcrobatとReaderに32件の脆弱性 — 細工したファイルで任意コード実行のおそれ、JPCERT/CCが最新版への更新を呼びかけ

要点

• Adobeは2026年9月8日（米国時間）、Adobe AcrobatとAdobe Acrobat Readerのセキュリティ情報「APSB26-141」を公開し、32件の脆弱性を修正した。米政府の脆弱性データベースNVDに登録された32件のCVEは、いずれも参照情報としてAPSB26-141を示している。
• 脆弱性の内訳は、Use After Free（解放後メモリ使用）が11件、境界外書き込みが5件、境界外読み取りが5件、ヒープバッファーオーバーフローが2件など、メモリ破損につながる種類が中心だ。
• NVDのCVSS v3.1評価では、32件のうち20件が深刻度HIGH、12件がMEDIUMで、最も高い基本値はCVE-2026-81996の8.8だ。
• JPCERT/CCは9月9日、注意喚起「JPCERT-AT-2026-0026」を出し、攻撃者が脆弱性を悪用したコンテンツを開くよう利用者を誘導することで、任意のコードを実行できるおそれがあると説明した。

影響を受ける製品と修正版

JPCERT/CCの注意喚起が示す影響対象と修正版は次の通りだ。Windows版とmacOS版がいずれも対象になる。

• Adobe Acrobat Continuous版：26.002.21900以前が影響対象、修正版は26.002.21901
• Adobe Acrobat Reader Continuous版：26.002.21900以前が影響対象、修正版は26.002.21901
• Adobe Acrobat 2024 Classic版：24.001.30383以前が影響対象、修正版は24.001.30429

PDF文書を開くだけで成立し得る種類の脆弱性が含まれるため、日常的にPDFを扱う利用者は影響を受けやすい。国内企業でも請求書や契約書の閲覧にAcrobatやReaderを使う現場は多く、放置すると標的型攻撃の入り口に使われるおそれがある。

悪用の状況 — 現時点でKEV登録はなし

AdobeやJPCERT/CCの公表文は、野外での悪用を確認したとは述べていない。米CISAのKEV（実際に悪用が確認された脆弱性のカタログ）にも、9月11日時点で今回の32件は含まれていない。ただしPDFリーダーは攻撃者に狙われやすい製品のため、悪用の有無にかかわらず更新を済ませることが望ましい。

更新方法 — JPCERT/CCが案内する手順

JPCERT/CCは、最新版への更新を案内している。製品を起動してメニューの「ヘルプ」から「アップデートの有無をチェック」を選ぶと更新できる。メニューから更新できない場合は、Adobeの配布ページから最新のAcrobatやAcrobat Readerを入手するよう案内している。

出典

• JPCERT/CC「Alert Regarding Vulnerabilities in Adobe Acrobat and Reader (APSB26-141)」（JPCERT-AT-2026-0026、2026年9月9日） https://www.jpcert.or.jp/english/at/2026/at260026.html
• Adobe「Security update available for Adobe Acrobat and Reader | APSB26-141」 https://helpx.adobe.com/security/products/acrobat/apsb26-141.html
• NVD「CVE-2026-81996 Detail」（CVSS v3.1の基本値8.8などはNVDの評価に基づく） https://nvd.nist.gov/vuln/detail/CVE-2026-81996