CVE-2026-34621 – Aktiv ausgenutzte Zero-Day-Lücke in Adobe Reader
Eine Zero-Day-Lücke in Adobe Acrobat und Reader ermöglicht es Angreifern, beim blossen Öffnen einer PDF-Datei Daten zu stehlen und Schadcode auszuführen. Sie wurde monatelang aktiv ausgenutzt. Adobe hat ein Update veröffentlicht – installiere es, falls noch nicht geschehen.
Update vom 22. Oktober 2026
Adobe hat die Lücke mit dem Sicherheitsbulletin APSB26-43 geschlossen. Sie trägt die Kennung CVE-2026-34621 (CVSS 8.6) und steht im Katalog der aktiv ausgenutzten Schwachstellen der US-Behörde CISA. Neben Windows ist auch macOS betroffen. Die korrigierten Versionen findest du unten unter "Was ist zu tun?".
Was ist passiert?
In Adobe Acrobat Reader wurde eine Zero-Day-Lücke entdeckt, die bereits aktiv für Angriffe genutzt wurde. Erste präparierte Dateien tauchten Ende 2025 auf, die Angriffe liefen also über mehrere Monate, bevor die Lücke bekannt wurde.
Sobald ein Benutzer eine präparierte PDF-Datei öffnet, greift eingebettetes JavaScript über privilegierte Schnittstellen (z.B. util.readFileIntoStream) auf das lokale Dateisystem zu. Es kann unbemerkt Dateien auslesen und über eine integrierte Feed-Funktion an externe Server übertragen sowie weiteren Schadcode nachladen. Weil der Angriff schon beim Öffnen der Datei startet und der Nutzer sonst nichts tun muss (etwa auf einen Link klicken), sind Phishing-Kampagnen damit sehr erfolgreich.
Wen betrifft es?
- Windows- und macOS-Nutzer von Adobe Acrobat Reader DC und Acrobat DC bis Version 26.001.21367 sowie Acrobat 2024 bis Version 24.001.30356.
- KMU in CH/FL: Besonders gefährdet sind Abteilungen mit vielen externen Dokumenten (Personalwesen, Buchhaltung, Einkauf).
- Beobachtete Kampagnen: Bisher mit russischsprachigen Ködern aus dem Öl- und Gassektor. Der Exploit lässt sich aber jederzeit für allgemeine "Rechnungs-Phishing"-Wellen in der Schweiz und in Liechtenstein anpassen.
Was ist zu tun?
- Update installieren: Aktualisiere Acrobat Reader DC und Acrobat DC auf Version 26.001.21411, Acrobat 2024 auf 24.001.30362 (Windows) bzw. 24.001.30360 (macOS). In der Anwendung über Hilfe → Nach Updates suchen, in verwalteten Umgebungen über die zentrale Softwareverteilung.
- Stand prüfen: Kontrolliere, ob die Updates auf allen Geräten tatsächlich angekommen sind – auch auf Rechnern, die selten genutzt werden oder bei denen automatische Updates deaktiviert sind.
- Falls ein Update nicht sofort möglich ist: Öffne PDF-Dateien vorübergehend mit einem anderen Programm (z.B. dem PDF-Viewer von Chrome, Edge oder Firefox) oder schalte in Adobe Reader JavaScript ab: Menü → Bearbeiten → Einstellungen → JavaScript → Haken bei 'Acrobat JavaScript aktivieren' entfernen.
- E-Mail-Filter schärfen: Konfiguriere dein E-Mail-Gateway so, dass PDF-Anhänge aus unbekannten oder externen Quellen besonders streng geprüft oder in einer isolierten Sandbox geöffnet werden.
- Auf Kompromittierung prüfen: Da die Lücke schon vor dem Patch ausgenutzt wurde, lohnt sich ein Blick zurück: Suche nach PDF-Dateien, die
util.readFileIntoStreamaufrufen, und nach Acrobat- oder Reader-Prozessen, die kurz nach dem Öffnen eines Dokuments ungewöhnliche Verbindungen aufbauen oder weitere Prozesse starten.
Dieses Advisory dient der Information. Für Unterstützung bei der Absicherung deiner Arbeitsplätze kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen