【ファイルカービング編】壊れたデータからファイルを救出する技術｜CTF思考フレームワーク #47
安全に生きたい編集部
安全に生きたい
Adobe Readerの脆弱性CVE-2026-34621｜悪用確認済み・3分更新手順
安全に生きたい編集部
🛡️ この記事について：情報処理安全確保支援士（IPA認定 国家資格）保有者が、Adobe、NVD、CISA、Microsoftの一次情報を2026年7月20日に再確認し、対象判定と更新操作を中心に再構成しました。 → 編集方針・運営者情報
ADOBE READER SECURITY UPDATE
Contents
怪しいPDFを探すより先に、
Adobe Readerを最新版へ更新してください。
CVE-2026-34621は、Windows／macOS版のAdobe Acrobat・Readerで実際の攻撃に悪用された脆弱性です。細工されたPDFを開くと、ログイン中の利用者権限で不正なプログラムを動かされるおそれがあります。
悪用確認済みAdobeとCISAが対象化
PDFを開く攻撃成立には操作が必要
更新で修正最新版ならこの問題を防げる
Adobe Readerを入れているかも分からないけど、全員が危ないの？
まずWindowsかMacでAdobe Acrobat／Readerを使っているか確認しよう。使っているなら、PDFを開く前に更新チェックを1回実行すればいいよ。
▶ 約4分半で事件の要点を見る｜ずんだもんと四国めたんの解説
動画内のCVSS 9.6は初期発表時の値です。現在の公式値は8.6で、必要な行動は変わらず「最新版へ更新」です。
先に結論：30秒で自分が対象か判定する
Windows／Mac今回の公式な対象OS
Acrobat／Readerデスクトップアプリを確認
旧版なら対象下の修正版と照合
最新へ更新版が不明でも更新確認
対象になる人
Windows／MacでAdobeアプリを使う
PDFを開いたとき、赤いAcrobatアイコンのデスクトップアプリが起動する人です。無料のAcrobat Readerも有料のAcrobatも対象に含まれます。
今回の対象外
スマホ版や別会社のPDF閲覧アプリ
AdobeのAPSB26-43が挙げる対象はWindows／macOS版です。iPhone・Androidやブラウザ内蔵ビューアだけを使う人は、今回の製品一覧には含まれていません。
迷ったらこの操作だけ：Adobe Acrobat／Readerを開き、Windowsは「メニュー → ヘルプ → アップデートの有無をチェック」、Macは「ヘルプ → アップデートの有無をチェック」を実行してください。
CVE-2026-34621で何が起きるのか
この問題は、PDFの内部データを扱う処理にある「Prototype Pollution」と呼ばれる脆弱性です。攻撃者が細工したPDFを利用者に開かせると、現在ログインしている利用者の権限で任意のコードを実行される可能性があります。
1PDFが届くメール、チャット、共有リンクなど
2利用者が開く攻撃成立にはファイルを開く操作が必要
3脆弱性を悪用PDF内部の細工が旧版Readerへ作用
4コード実行利用者権限で不正処理を動かされる
重要なのは、PDFを受信しただけでは攻撃成立ではないことです。一方で、請求書、採用書類、配送通知、契約書など、日常的に開きやすい題材へ偽装できるため、「怪しいPDFだけ見分ければよい」という対策では足りません。
なぜ優先して更新すべきなのか
| 判断材料 | 公式情報 | 意味 |
|---|---|---|
| 悪用状況 | Adobeが実際の攻撃での悪用を確認 | 理論上の欠陥ではなく、攻撃側が利用している |
| Adobe優先度 | Priority 1 | Adobeの更新優先度で最上位。早い適用が必要 |
| CISA KEV | 2026年4月13日に登録 | 米政府機関が「悪用が確認された脆弱性」として管理 |
| 影響 | 任意コード実行 | 攻撃者の処理を端末上で実行される可能性 |
CISAのKEV（Known Exploited Vulnerabilities）は、現実の攻撃で悪用が確認された脆弱性の一覧です。米連邦政府機関向け期限は2026年4月27日でしたが、個人や一般企業も「既に攻撃に使われている」という優先度判断に利用できます。
CVSSが9.6から8.6に下がったなら、もう急がなくてもいい？
そこは違うよ。点数の訂正は攻撃経路の分類がNetworkからLocalへ変わったため。悪用確認済み、任意コード実行、更新が必要という結論は変わらないんだ。
対象バージョンと修正版の最低ライン
| 製品／系統 | 影響を受ける版 | この問題を修正した版 | OS |
|---|---|---|---|
| Acrobat DC Continuous | 26.001.21367以前 | 26.001.21411以降 | Windows／macOS |
| Acrobat Reader DC Continuous | 26.001.21367以前 | 26.001.21411以降 | Windows／macOS |
| Acrobat 2024 Classic | 24.001.30356以前 | Windows：24.001.30362以降 Mac：24.001.30360以降 | Windows／macOS |
表の使い方：修正版はAPSB26-43で示された「この脆弱性を直した最低バージョン」です。現在はさらに新しい版が配信されている場合があるため、数字ぴったりを探さず、アップデート画面で入る最新版を適用してください。
自分のバージョンを確認する方法
Acrobat／Readerを開く
PDFをダブルクリックする必要はありません。スタートメニューやアプリケーション一覧から本体だけを起動します。
「バージョン情報」を開く
Windowsは「ヘルプ → Adobe Acrobatについて」、Macは「Acrobat → Adobe Acrobatについて」です。
数字を表と照合
26.001系はContinuous、24.001.3系はClassicです。旧版なら更新します。
Adobeの公式説明では、バージョン文字列の8桁目が「2」ならContinuous、「3」ならClassicを示します。製品名は契約や表示モードで異なる場合がありますが、まず表示された数字を確認すれば判断できます。
最短判断：
- バージョンを確認できた → 上の表と照合する。
- どこを見ればよいか分からない → そのまま更新チェックを実行する。
- 会社PCでメニューが押せない → 自分で削除せず、情報システム部門へ「CVE-2026-34621対応状況」を確認する。
Windowsで3分更新する手順
メニューから更新確認
Acrobat／Readerを起動し、「メニュー → ヘルプ → アップデートの有無をチェック」を選びます。
ダウンロードして終了
更新があれば「ダウンロード」。終了を求められたらAcrobatを閉じ、「再試行」で完了させます。
もう一度確認
起動後に更新チェックを再実行し、利用可能な更新がない状態まで進めます。
更新が失敗する場合、AdobeはWindows版Readerの再インストール手順も案内しています。会社管理の端末ではポリシーや管理用インストール方式によって自動更新できないことがあるため、管理者へ依頼してください。
Macで3分更新する手順
更新確認
Acrobat／Readerを起動し、画面上部の「ヘルプ → アップデートの有無をチェック」を選びます。
「はい」で適用
更新が見つかったら「はい」を選び、画面の案内に従います。
版を再確認
「Acrobat → Adobe Acrobatについて」でバージョンを確認します。
Classic 2024はWindowsとMacで修正版の末尾が異なります。Windowsの24.001.30362とMacの24.001.30360を取り違えないでください。迷う場合は手動で特定のファイルを探さず、アプリ内の更新機能を使うのが確実です。
自動更新と保護モードも確認する
| 設定 | 確認場所 | 推奨状態 |
|---|---|---|
| Acrobatの自動更新 | Windows：メニュー → 環境設定 → アップデーター Mac：Acrobat → 環境設定 → アップデーター | 「アップデートを自動的にインストール」を有効 |
| Readerの自動更新 | Readerは原則として自動更新が既定 | 手動更新チェックで実際に最新か確認 |
| 保護モード | 環境設定 → セキュリティ（拡張） | 「起動時に保護モードを有効にする」を維持 |
| WebからのPDF自動起動 | 環境設定 → 一般 | 不要なら「WebからダウンロードしたPDFを常に開く」を無効 |
保護モードは、PDFを制限された環境で動かし、ファイルやレジストリなどへのアクセスを抑える多層防御です。Adobeは通常環境で有効のまま使うことを推奨しています。互換性問題の回避で一時的に無効にした場合も、作業後は戻してください。
自動で開く設定に注意：Windows版Acrobatには、ChromeやEdgeからダウンロードしたPDFを自動的にデスクトップアプリで開く設定があります。不審ファイルを意図せず開く余地を減らしたい人は、環境設定の「一般」から無効にできます。
Chromeの画面の中でPDFを見ただけなら、Adobe Readerの脆弱性とは関係ない？
ブラウザ内蔵ビューアだけなら、今回のAdobeデスクトップ製品の対象とは別だよ。ただし、ダウンロード後にAcrobat／Readerが自動起動する設定もあるから、実際にどのアプリで開いたかを確認しよう。
ブラウザ・スマホ・会社PCの違い
| 使い方 | 今回の対象判定 | 行動 |
|---|---|---|
| Windows／MacのAdobe Acrobat・Reader | 対象 | アプリ内の更新チェックを実行 |
| Chrome／Edge等の内蔵PDFビューア | Adobeアプリとは別製品 | ブラウザを最新版に更新。自動的にAdobeへ渡していないか確認 |
| iPhone／AndroidのAdobeアプリ | APSB26-43の対象一覧には記載なし | アプリストアで通常の更新を継続 |
| 会社管理PC | 対象版なら更新が必要 | 管理者配布を優先し、勝手にアンインストールしない |
「PDFをChromeからダウンロードした」だけでは、どのビューアで開いたかは決まりません。Adobeの説明では、WindowsでChrome／EdgeからダウンロードしたPDFをAcrobatへ自動的に渡す機能があります。PDF表示時のウィンドウ名やタスクバーのアイコンを見て、実際にAdobeアプリが起動したか確認してください。
怪しいPDFを既に開いてしまった時の対処
個人PCでの順番：
- PDFを閉じる：同じファイルを再度開かない。送信者へ確認するときも添付を転送しない。
- Acrobat／Readerを更新：アプリ本体だけを起動し、最新まで更新する。
- セキュリティスキャン：Windowsは「Windows セキュリティ → ウイルスと脅威の防止 → スキャンのオプション」からフルスキャンを実行。挙動がおかしい場合はオフラインスキャンも検討する。
- 異常を確認：勝手なアプリ起動、警告、アカウント通知、身に覚えのない通信や操作があれば、その端末で重要なログインを続けない。
- 会社PCは即連絡：端末名、PDFの入手元、開いた時刻、画面の変化を情報システム部門へ伝える。
会社PCで不審な挙動がある場合：Wi-FiやLANを切り離し、電源は担当者の指示なしに切らず、再起動やクリーンアップツールの実行もしないでください。調査に必要なログやメモリ情報が失われることがあります。
開いた事実だけで感染確定とは言えません。ただし、この脆弱性はコード実行につながるため、旧版で不審なPDFを開いたなら「削除して終わり」にはせず、更新とスキャンまで進めるのが安全です。
PDFを開く前に確認する5項目
送信者
表示名ではなくアドレス
会社名や担当者名が合っていても、送信元ドメインや返信先が別なら確認します。
文脈
本当に待っていた書類か
突然の請求書、履歴書、見積書、配送通知は、別経路で相手へ確認します。
急がせ方
期限・罰金・停止を強調
「本日中」「支払わないと停止」など判断を急がせる文面は一度止まります。
開き方
更新後の端末で開く
送信元が正しくても、端末とPDFビューアが古いままなら脆弱性は残ります。
一番効く予防：「怪しいか見抜く」だけに頼らず、Acrobat／Readerの自動更新と保護モードを維持することです。見た目が本物のPDFでも、更新済みなら既知の脆弱性を悪用されにくくできます。
結局、PDFを全部警戒して開かないようにするしかないの？
全部を疑う必要はないよ。更新、保護モード、待っていた書類かの確認。この3つに絞れば、仕事を止めずにリスクを下げられるんだ。
動画内のCVSS 9.6を8.6へ読み替える理由
Adobeは2026年4月11日の公開時にCVSS基本値を9.6としていましたが、翌12日に攻撃経路をNetwork（AV:N）からLocal（AV:L）へ訂正し、8.6へ変更しました。NVDの変更履歴にもこの修正が記録されています。
これは「危険性がなくなった」という訂正ではありません。悪用には利用者が悪意あるファイルを開く操作が必要であることを、評価式へ正しく反映したものです。Adobeの深刻度はCritical、更新優先度は1、CISA KEVへの掲載も維持されています。
覚える数字は1つだけ：点数より、アプリの更新画面で「利用可能な更新はありません」となるまで適用することを優先してください。
よくある質問
Q. PDFをメールで受信しただけで感染しますか？
A. NVDの説明では、悪用には被害者が悪意あるファイルを開く操作が必要です。受信しただけなら再度開かず、削除や報告の判断をしてください。
Q. 無料のAdobe Acrobat Readerも対象ですか？
A. はい。Acrobat Reader DC Continuousの26.001.21367以前が対象です。有料版だけの問題ではありません。
Q. バージョンが26.001.21411より新しければ大丈夫ですか？
A. 同じContinuous系統で26.001.21411以降なら、このCVEの修正を含みます。ただし別の脆弱性対策もあるため、現在配信される最新版まで更新してください。
Q. Adobe Readerを使っていなければ何もしなくてよいですか？
A. 今回のCVE対応としてAdobeアプリの更新は不要ですが、実際にインストールされていないか、ブラウザからPDFを開いたときにAcrobatへ自動転送されていないかは確認してください。
Q. 保護モードだけで更新しなくても防げますか？
A. いいえ。保護モードは被害を抑える多層防御で、修正版の代わりではありません。更新と併用してください。
次に読む記事
安全対策の総合ガイドから探す
PDF以外の不審メール、偽警告、アカウント、スマホの問題は、「安全に生きたい」トップページの総合ガイドから状況別に選べます。
PDF以外の不審メール、偽警告、アカウント、スマホの問題は、「安全に生きたい」トップページの総合ガイドから状況別に選べます。
まとめ：今やるのは更新チェック1回
- CVE-2026-34621は、Windows／macOS版Adobe Acrobat・Readerで悪用確認済み
- 攻撃成立には、利用者が細工されたPDFを開く操作が必要
- Continuousは26.001.21411以降、Classic 2024はWindows 24.001.30362／Mac 24.001.30360以降で修正
- 数字が分からなくても、アプリ内の更新チェックで最新版にすればよい
- 旧版で不審なPDFを開いた場合は、更新、スキャン、異常確認まで行う
このニュースで覚えるべきことは、脆弱性名でも点数でもありません。Windows／MacでAdobe Readerを使うなら、PDFを開く前に更新チェックを1回。これが最短で確実な対策です。
参考にした一次情報
- Adobe Security Bulletin APSB26-43
- NVD：CVE-2026-34621
- CISA：Known Exploited Vulnerabilities Catalog
- Adobe：Acrobatを手動で更新する
- Adobe：Acrobatの自動更新を設定する
- Adobe：Acrobatの系統とバージョンを確認する
- Adobe：サンドボックス保護を有効にする
- Adobe：ダウンロードしたPDFの自動起動設定
- Microsoft：Windows セキュリティのスキャン
本記事は2026年7月20日時点の公開情報に基づきます。Adobeの更新画面で配信される最新版と、会社管理端末では管理者の案内を優先してください。
