Mettez vite Acrobat Reader à jour : Adobe vient de corriger une grave faille de sécurité
Adobe vient enfin de corriger une vieille faille de sécurité dans Acrobat Reader qui permettait à des hackers d'exécuter du code malveillant via des fichiers PDF vérolés. Téléchargez vite la mise à jour avec le correctof !
Le logiciel gratuit Adobe Acrobat Reader, qui permet de visualiser, d'imprimer et d'annoter des documents au format PDF, est probablement le logiciel de lecture de fichiers PDF le plus utilisé au monde. Ce n'est guère étonnant étant donné qu'Adobe est à l'origine même du format PDF. Aussi, du fait de son nombre colossal d'utilisateurs, il est une cible de choix pour les cybercriminels, qui rêvent d'un moyen de le pirater.
Et justement, la chercheur Haifei Li, fondateur de la plateforme de détection d'exploits EXPMON, a découvert une vulnérabilité dite "zero-day", c'est-à-dire une faille inconnue de l'éditeur au moment où elle est exploitée. Elle permet aux pirates d'infecter un appareil par la simple ouverture d'un fichier PDF. Cette vulnérabilité est exploitée depuis au moins décembre 2025. Il a donc fallu attendre quatre mois pour qu'Adobe daigne publier un correctif. C'est désormais chose faite, et tous les utilisateurs d'Acrobat DC, Acrobat Reader DC et Acrobat 2024 doivent absolument mettre leurs logiciels à jour.
Faille d'Acrobat Reader : une campagne active depuis fin 2025
L'attaque est d'une simplicité enfantine, puisqu'il suffit d'ouvrir un fichier PDF piégé pour que l'appareil compromis. Aucune action supplémentaire n'est requise : pas besoin de cliquer sur un lien, d'activer une macro ou de télécharger un programme. Le simple affichage du document déclenche du code malveillant dissimulé, qui exploite l'API interne d'Acrobat. Il est alors capable d'accéder aux données de l'appareil et de les transmettre à un serveur distant. L'attaquant peut même prendre totalement le contrôle de la machine en exécutant un code arbitraire !
Les investigations indiquent que cette vulnérabilité est exploitée depuis plusieurs mois, avec des traces remontant à la fin de l'année 2025. Haifei Li lui a attribué un score de dangerosité CVSS de 9.6 sur 10, qu'Adobe a par la suite abaissé à 8.6 après de plus amples analyses. La sophistication de l'attaque explique en partie pourquoi Adobe a mis autant de temps à réagir. En plus, le malware ne passait pas systématiquement à l'attaque, il prenait d'abord le temps d'évaluer si la machine infectée correspondait à certains critères. Notons que les PDF piégés analysés contenaient des leurres rédigés en russe, ce qui amène certains experts à penser que le groupe APT (Advanced Persistent Threat) y serait lié.
Depuis, un correctif a été publié en urgence pour combler la vulnérabilité identifiée sous la référence CVE-2026-34621. Il concerne les versions 26.001.21367 et antérieures pour Acrobat DC et Acrobat Reader DC, ainsi que les versions 24.001.30356 et antérieures pour Acrobat 2024, sur Windows comme macOS.
Pour rappel, pour mettre à niveau Adobe Acrobat Reader, il suffit de se rendre dans le menu "Aide", puis de sélectionner "Rechercher des mises à jour". Le logiciel va ensuite vérifier si une nouvelle version est disponible et proposera de l'installer. Notons qu'Adobe Reader n'est pas le seul lecteur de PDF, on peut aujourd'hui utiliser des navigateurs comme Chrome ou Edge pour ouvrir ces documents. Dans tous les cas, un PDF envoyé depuis une adresse inconnue ou reçu sans motif identifiable ne devrait jamais être ouvert sans vérification préalable.