結論：今すぐ Adobe Acrobat Reader を最新版に更新してください
2026年4月8日、Adobe は Acrobat Reader および Acrobat DC に存在する CVSS 9.6（Critical）のリモートコード実行（RCE）脆弱性 CVE-2026-34621 に対する緊急セキュリティパッチをリリースした。
この脆弱性の最大の危険性は、悪意のあるPDFファイルを開くだけで、攻撃者が被害者のPCで任意のコードを実行できる点にある。ユーザーの追加操作は一切不要だ。メールに添付されたPDFを開いた瞬間に、PCが乗っ取られる可能性がある。
ワークアラウンド（回避策）では根本的な解決にならないため、全端末のAcrobat Readerを最新版に更新することが唯一の確実な対策だ。
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
CVE-2026-34621 の概要
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-34621 |
| CVSSスコア | 9.6（Critical） |
| 脆弱性の種類 | Heap-based Buffer Overflow → リモートコード実行（CWE-122） |
| 攻撃条件 | 悪意あるPDFファイルを開くだけ（ユーザー操作は「ファイルを開く」のみ） |
| 影響を受けるバージョン | Acrobat Reader DC 24.001.30356 以下の全バージョン |
| 影響を受ける製品 | Acrobat Reader DC / Acrobat DC（Windows・macOS） |
| パッチリリース日 | 2026年4月8日 |
| 悪用状況 | PoCコードの流通を確認、標的型攻撃での使用が報告されている |
攻撃の仕組み
CVE-2026-34621 は、Acrobat Reader の PDF レンダリングエンジンにおける Heap-based Buffer Overflow に起因する。攻撃者は特別に細工した PDF ファイルにより、メモリ上のヒープ領域を破壊し、任意のコードを実行する。
具体的には以下の流れで攻撃が成立する。
- 攻撃者が細工した PDF ファイルをメール添付やWebサイト経由で配布
- 被害者がPDFファイルを Acrobat Reader で開く
- PDF内の不正なオブジェクトがヒープバッファオーバーフローを引き起こす
- 攻撃者のシェルコードが実行され、被害者の権限でPCを操作可能になる
特に危険なのは、Windowsの「プレビューウィンドウ」でPDFをプレビューするだけでも脆弱性がトリガーされる可能性がある点だ。ファイルを明示的に開かなくても、エクスプローラーでPDFファイルを選択しただけで攻撃が成立し得る。
「社内のAcrobat Reader、全端末で最新版になっていますか？」
脆弱性の影響調査からパッチ展開の支援まで、中小企業のセキュリティ対策を一貫してサポートしています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
影響範囲：どのバージョンが危険か
以下のバージョンが CVE-2026-34621 の影響を受ける。
| 製品 | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| Acrobat DC（Windows） | 24.001.30356 以下 | 24.001.30420 以上 |
| Acrobat DC（macOS） | 24.001.30356 以下 | 24.001.30420 以上 |
| Acrobat Reader DC（Windows） | 24.001.30356 以下 | 24.001.30420 以上 |
| Acrobat Reader DC（macOS） | 24.001.30356 以下 | 24.001.30420 以上 |
注意： 無料版の Acrobat Reader DC も影響を受ける。「有料版のAcrobatしか関係ない」という認識は誤りだ。社内で使用しているすべての端末を確認する必要がある。
FREE DOWNLOAD
セキュリティ運用も、導入後のKPIと改善バックログで見直せます
脆弱性、ログ、権限、AI利用ルールを月次で確認し、止まらない運用体制へつなげます。
今すぐ実行すべき更新手順
個人端末での更新手順（所要時間：約3分）
- Acrobat Reader を起動する
- メニューバーから 「ヘルプ」→「アップデートの確認」 をクリック
- 利用可能なアップデートが表示されたら 「ダウンロードしてインストール」 をクリック
- インストール完了後、Acrobat Reader を再起動する
- 「ヘルプ」→「Adobe Acrobat Reader について」 でバージョンが 24.001.30420 以上 であることを確認
企業の管理者向け：一括配布の手順
大量の端末を管理している場合、手動更新は現実的ではない。以下のツールで一括配布が可能だ。
Microsoft Intune（Endpoint Manager）を使用する場合：
- Microsoft Intune 管理センターにログイン
- 「アプリ」→「すべてのアプリ」→「追加」 で Acrobat Reader の最新MSIパッケージを登録
- 対象デバイスグループに割り当て、必須インストールとして配布
- 「デバイス」→「モニター」 で配布状況を確認
WSUS / SCUP（System Center Updates Publisher）を使用する場合：
- Adobe のカタログファイル（.cab）を SCUP にインポート
- Acrobat Reader の最新パッチを承認・公開
- WSUS 経由で対象端末にパッチを配布
- WSUS コンソールでインストール状況をレポートで確認
Active Directory グループポリシーを使用する場合：
- Adobe Admin Console から最新の MSI パッケージをダウンロード
- グループポリシーの「ソフトウェアインストール」でMSIパッケージを配布
- 次回のグループポリシー更新時（通常90分以内）に各端末に適用される
PDF経由の攻撃が増加している背景
PDF は業務のあらゆる場面で使用される「信頼されたファイル形式」だ。そのため、メールのセキュリティフィルターで .exe や .js ファイルはブロックされても、PDFは通過する設定になっていることが多い。
JPCERT/CC の統計によれば、2025年後半から PDF を攻撃ベクターとして利用するキャンペーンが前年比で約 40%増加 している。攻撃者がPDFを好む理由は明確だ。
- 受信者がPDFを開くことへの心理的ハードルが低い（請求書、契約書、見積書などの体裁を装える）
- メールフィルターを回避しやすい（PDFは正規のビジネス文書として日常的にやり取りされる）
- 攻撃コードを埋め込む手法が成熟している（JavaScript、フォームアクション、埋め込みファイルなど複数の手法が存在する）
今回の CVE-2026-34621 は、この傾向をさらに加速させる恐れがある。PDFを「安全なファイル」と思い込まないことが、今後の防御の第一歩だ。
まとめ
| 項目 | ポイント |
|---|---|
| 脆弱性 | CVE-2026-34621（CVSS 9.6、Critical） |
| 影響 | 悪意あるPDFを開くだけで任意コード実行 |
| 影響範囲 | Acrobat Reader DC / Acrobat DC 24.001.30356 以下（Windows・macOS） |
| 対策 | 24.001.30420 以上への即時アップデート |
| 管理者向け | Intune / SCUP / GPO での一括配布を推奨 |
CVE-2026-34621 は CVSS 9.6 という極めて高い深刻度に加え、「PDFを開くだけ」という低い攻撃ハードルが組み合わさった危険な脆弱性だ。社内のすべての端末で Acrobat Reader が最新版になっているか、本日中に確認を完了してほしい。
よくある質問（FAQ）
Q1. Acrobat Reader を使っていなければ影響はありませんか？
Acrobat Reader / Acrobat DC をインストールしていない端末には影響はありません。ただし、過去にインストールして現在は使用していない場合でも、プログラムが残っていれば脆弱性の影響を受けます。「コントロールパネル」→「プログラムと機能」で Acrobat Reader がインストールされていないか確認してください。
Q2. Chrome や Edge の内蔵PDFビューアでPDFを開いている場合は安全ですか？
Chrome や Edge の内蔵PDFビューアは Acrobat Reader とは別のレンダリングエンジンを使用しているため、CVE-2026-34621 の影響は受けません。ただし、ブラウザがPDFを Acrobat Reader プラグインで開く設定になっている場合は影響を受けます。ブラウザの設定で「PDFをブラウザ内で開く」が有効になっていることを確認してください。
Q3. Acrobat Reader の自動更新を有効にしていれば、すでにパッチが適用されていますか？
自動更新が有効であれば、通常はパッチリリース後72時間以内に自動適用されます。ただし、企業環境ではプロキシやファイアウォールの設定により自動更新がブロックされているケースがあります。「ヘルプ」→「Adobe Acrobat Reader について」 でバージョンを直接確認することを推奨します。
Q4. PDFファイルのメール添付を社内で禁止すべきですか？
全面禁止は業務への影響が大きいため、現実的ではありません。代わりに以下の対策を推奨します。（1）Acrobat Reader を常に最新版に保つ。（2）メールセキュリティ製品でPDFファイルのサンドボックス解析を有効にする。（3）外部からのPDFは「保護されたビュー」モードで開く設定を強制する。
参考情報
- Adobe Security Bulletin APSB26-18「Security updates available for Adobe Acrobat and Reader」（2026年4月8日）
- NIST National Vulnerability Database「CVE-2026-34621」
- JPCERT/CC「Adobe Acrobat および Reader の脆弱性に関する注意喚起」（2026年4月）
- IPA「Adobe Acrobat および Reader の脆弱性対策について」（2026年4月）
関連記事
PDF経由の攻撃に備え、セキュリティ体制を見直しませんか？
「パッチは当てたけど、他に見落としがないか不安」「PDFのセキュリティ設定が属人的になっている」——そんな課題をお持ちなら、現状の診断から始めてみませんか。脆弱性管理の仕組みづくりから一括パッチ展開の設計まで支援しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
