Zero-Day Adobe Acrobat Reader CVE-2026-34621

Zero-day Adobe Reader CVE-2026-34621 adalah celah di Adobe Acrobat dan Reader yang memungkinkan eksekusi kode ketika korban membuka PDF berbahaya, dan menurut peneliti sudah dieksploitasi sejak setidaknya November 2025. Adobe menambalnya lewat buletin APSB26-43 pada April 2026, dan CISA memasukkannya ke daftar KEV pada 13 April 2026. Per 29 Oktober 2026, pastikan seluruh Reader di organisasi Anda sudah diperbarui.

Ringkasan Zero-Day Adobe Reader CVE-2026-34621

• CVE: CVE-2026-34621 (buletin Adobe APSB26-43).
• Produk terdampak: Acrobat DC dan Reader DC versi 26.001.21367 dan sebelumnya, serta Acrobat 2024 versi 24.001.30356 dan sebelumnya, di Windows dan macOS.
• Jenis kerentanan: prototype pollution (CWE-1321) pada mesin JavaScript di dalam PDF, yang dapat berujung pada eksekusi kode dengan hak pengguna saat berkas dibuka.
• Skor CVSS: Adobe awalnya memberi 9,6 (Critical), lalu menurunkannya menjadi 8,6 (High) pada 13 April 2026 karena pengguna harus membuka berkas secara lokal. Skor 8,6 menggunakan CVSS 3.1 dan diberikan oleh Adobe sebagai CNA.
• Status eksploitasi: dieksploitasi di dunia nyata. Masuk CISA KEV 13 April 2026 dengan tenggat 27 April 2026.
• Versi perbaikan: Acrobat DC dan Reader DC 26.001.21411; Acrobat 2024 24.001.30362 (Windows) dan 24.001.30360 (macOS). Menurut peringatan JPCERT/CC pada 15 April 2026, buletin lanjutan APSB26-44 menaikkan versi aman menjadi 26.001.21431 dan Acrobat 2024 24.001.30365, jadi pasang versi terbaru yang tersedia, bukan sekadar build APSB26-43.

Apa yang Terjadi: PDF sebagai Pintu Masuk

Peneliti Haifei Li, salah satu pencipta sistem sandbox EXPMON, menemukan eksploitasi ini saat menganalisis sebuah PDF yang masuk ke sistemnya pada 26 Maret 2026. Sampel serupa ternyata sudah ada di VirusTotal beberapa hari sebelumnya, dan sebuah varian pertama kali diunggah pada 28 November 2025. Itu sebabnya SecurityWeek dan peneliti lain menyebut eksploitasi berlangsung berbulan-bulan sebelum ada tambalan.

Menurut analisis yang dilaporkan Help Net Security, membuka PDF menjalankan JavaScript yang sangat dikaburkan. Skrip itu mengumpulkan informasi seperti bahasa sistem, versi OS, versi Reader, dan lokasi berkas, lalu mengirimkannya ke server penyerang. Dari sana, penyerang berpotensi mengirim exploit tahap berikutnya untuk eksekusi kode atau keluar dari sandbox. Dalam pengujian Li, server tidak mengirim tahap lanjutan, kemungkinan karena penyaringan target yang ketat. Kami tidak membahas cara kerja teknisnya lebih jauh.

Siapa yang Menjadi Target

Menurut peneliti malware Giuseppe Massaro, seperti dikutip Help Net Security, kedua sampel memakai dokumen berbahasa Rusia sebagai umpan, dengan topik gangguan pasokan gas dan tanggap darurat. Ini mengindikasikan sasaran berbahasa Rusia di sektor pemerintahan, energi, atau infrastruktur. Li menduga kelompok APT berada di baliknya, tetapi pelaku belum diatribusikan secara terkonfirmasi. Bagi organisasi di Indonesia, kasus ini tetap relevan: eksploitasi yang dimulai terarah sering kali menyebar atau ditiru ketika detailnya terbuka, dan PDF adalah format yang dibuka hampir semua karyawan setiap hari lewat email, unduhan, dan portal dokumen.

Cara Memeriksa Paparan dan Memperbarui Adobe Reader

1. Buka Acrobat atau Reader, menu Help, lalu About atau Check for Updates. Bandingkan dengan versi perbaikan di atas.
2. Di lingkungan terkelola, inventarisasi versi Acrobat dan Reader dengan alat manajemen aset, lalu dorong pembaruan terpusat.
3. Jika Anda memakai Acrobat 2024, perhatikan nomor build terpisah untuk Windows dan macOS.
4. Pertimbangkan mencopot Reader dari komputer yang tidak membutuhkannya. Peramban modern sudah bisa menampilkan PDF.

Mitigasi dan Deteksi di Luar Patch

Prioritas pertama adalah menambal. Setelah itu, kurangi permukaan serangan:

• Nonaktifkan JavaScript di Acrobat melalui kebijakan organisasi bila tidak dibutuhkan. Prototype pollution pada celah ini terjadi di mesin JavaScript PDF.
• Aktifkan Protected Mode dan Protected View sebagai lapisan tambahan, bukan pengganti tambalan.
• Buka PDF dari sumber tak dikenal di viewer berbasis sandbox atau mesin terpisah.
• Peringatan deteksi yang dipublikasikan peneliti: proses AdobeCollabSync.exe yang membuat koneksi keluar ke internet, lalu lintas HTTP dengan User-Agent yang mengandung "Adobe Synchronizer", dan pemanggilan fungsi JavaScript PDF yang tidak lazim. Tim SOC dapat menjadikannya aturan pemburuan ancaman dengan SIEM.
• Saring lampiran PDF di gateway email, dan latih pengguna mengenali email phishing.

Bila Anda curiga perangkat sudah terbuka, isolasi mesin, simpan bukti, dan ikuti prosedur incident response.

Mengapa PDF Terus Menjadi Vektor Serangan

PDF bukan sekadar gambar: formatnya dapat memuat skrip, formulir, dan objek tertanam, sehingga pembaca PDF menjadi program besar yang mengurai berkas dari sumber yang tidak tepercaya. Setiap fitur tambahan memperluas permukaan serangan. Itulah sebabnya kebijakan terbaik adalah menyalakan hanya fitur yang benar-benar dipakai. Untuk sebagian besar karyawan, membaca dokumen tidak membutuhkan JavaScript sama sekali, sehingga menonaktifkannya lewat kebijakan grup atau MDM adalah pengurangan risiko yang murah.

Bagi tim keamanan, ada pula pelajaran soal tata kelola tambalan. Pembaca PDF sering terpasang di banyak komputer tetapi tidak dimiliki oleh satu tim tertentu, sehingga jarang masuk jadwal pembaruan. Masukkan Acrobat dan Reader ke dalam inventaris yang sama dengan sistem operasi dan peramban, dan tetapkan tenggat setelah sebuah celah masuk KEV. Pendekatan prioritas semacam ini dibahas di patch management berbasis risiko.

Linimasa Singkat

• 28 November 2025: varian sampel PDF berbahaya pertama kali diunggah ke VirusTotal.
• 26 Maret 2026: sampel diserahkan ke EXPMON dan memicu deteksinya.
• 9 April 2026: temuan Li dipublikasikan, saat tambalan belum tersedia.
• 11 April 2026: Adobe merilis APSB26-43.
• 13 April 2026: CISA menambahkannya ke KEV; Adobe menurunkan CVSS dari 9,6 ke 8,6.
• 15 April 2026: JPCERT/CC memperingatkan buletin lanjutan APSB26-44 dengan versi aman yang lebih baru.
• 27 April 2026: tenggat KEV bagi lembaga federal AS.

Pertanyaan yang Sering Diajukan

Apakah skor yang turun ke 8,6 berarti celah ini kurang berbahaya?

Tidak. Skor turun karena pengguna harus membuka berkas, tetapi Li menegaskan penurunan itu tidak mengurangi urgensi, apalagi eksploitasi sudah terbukti. Pelajari pembacaan skor di level kerentanan dan CVSS.

Apakah membuka PDF di browser aman?

Celah ini ada di Acrobat dan Reader. Penampil PDF bawaan browser tidak termasuk produk yang disebut terdampak, tetapi browser punya celahnya sendiri, jadi tetap perbarui.

Mengapa ini disebut zero-day?

Karena dieksploitasi sebelum ada tambalan. Pengertiannya ada di apa itu kerentanan zero-day.

Kesimpulan

Zero-day Adobe Reader ini mengingatkan kita bahwa berkas dokumen adalah vektor serangan klasik yang masih efektif. Perbarui Acrobat dan Reader, kurangi fitur yang tidak perlu, dan awasi perilaku proses Adobe. Untuk pelatihan deteksi dan respons bagi tim Anda, kunjungi halaman pelatihan Linuxhackingid.