Acrobat Readerの脆弱性が多い理由と2026年の実数｜悪用済みCVE-2026-34621・最新版の確認と保護モード設定

Adobe Acrobat Readerは、取引先から届く請求書や見積書など「開かないわけにいかないPDF」を開くソフトです。そのため、細工したPDFを開かせるだけでコードを実行される脆弱性が、標的型攻撃の入口として繰り返し使われてきました。2026年も4月に、プロトタイプ汚染の脆弱性CVE-2026-34621が米CISAの悪用済み脆弱性カタログ（KEV）へ追加されています。本記事では、2026年に公表された脆弱性の件数と勧告の周期、脆弱性が多い技術的な理由、手元の版を最新版と比べる手順、自動更新・保護モード・JavaScriptの設定、SumatraPDFなど代替ビューアの安全性を、NVD・CISA・Adobeの一次情報に沿って整理します（2026年10月17日時点）。

まとめ：Acrobat Readerの脆弱性対策と更新・保護設定の優先順位

• 頻度：NVDに登録された2026年番号のAcrobat ReaderのCVEは、2026年10月17日時点で60件。勧告は3月・4月（2回）・6月・9月に出た。
• 悪用：CVE-2026-34621（CVSS 8.6、プロトタイプ汚染）が2026年4月13日にKEVへ追加。翌4月14日には同じ種類のCVE-2026-34622も修正された。
• 最新版：継続トラックの最新は2026年10月14日の26.002.22031。脆弱性の修正を含む最後の勧告は9月8日（日本時間9日）のAPSB26-141で、修正版は継続トラック26.002.21901、Acrobat 2024は24.001.30429。
• 対応の優先順位：①全端末をAPSB26-141の修正版以降にする②自動更新が止まっている端末を探す③保護モードを固定し、保護されたビュー・AppContainer・JavaScriptの無効化を検証して入れる。
• 代替ソフト：乗り換えても脆弱性は無くならない。SumatraPDFは最新の安定版3.6.1を影響版とする勧告が9件公開されており、修正版の欄は空のまま。

Acrobat ReaderのKEV登録は2022年に17件、2023年に2件あり、2024年と2025年は追加が無かったものの、2026年に3件が加わりました。件数だけでなく、悪用の有無を見て更新の優先度を決める必要があります。

2026年に公表されたAcrobat Readerの脆弱性の件数と勧告の周期

NVDのAPIでキーワード「Acrobat Reader」、公開日2026年1月1日〜10月17日を指定すると63件が返り、うち2026年のCVE番号は60件です。この60件をAdobeの勧告（APSB）ごとに集計すると次のとおりです。CVSSはNVDに載るAdobeの評価です。

合計60件です。残る3件は2020年の勧告APSB20-48で直った古いCVE（CVE-2020-9695・9711・9713）で、NVDの初回公開日が2026年6月23日になっています。

勧告の日付には規則性があります。Adobeの勧告一覧では、2025年が3月11日・6月10日・9月9日・12月9日、2026年が3月10日・6月9日・9月8日と、3か月ごとの第2火曜日に定例の勧告が出ています。2026年4月の2回（11日・14日）は定例外の勧告で、11日のAPSB26-43は悪用されたCVE-2026-34621への緊急更新です。14日のAPSB26-44について、Adobeは対象の脆弱性の悪用を把握していないとしています。この周期が続くなら次の定例は12月ですが、臨時の勧告は予告なく出ます。日付は米国時間で、定例の勧告では日本時間の翌日（水曜日）にIPAとJPCERT/CCが注意喚起を出しています。

Use After Freeと境界外書き込みが多い理由

9月のAPSB26-141の32件を種類別に見ると、Use After Free（解放済みメモリの再利用）が11件、境界外書き込みと境界外読み取りが5件ずつ、ヒープバッファオーバーフローが2件でした。PDFは、フォント・画像・フォーム・注釈・JavaScriptなど多くの種類のデータを1つのファイルに詰め込める形式で、Acrobat Readerはそのすべてを解析しなければなりません。Use After Freeや境界外書き込みは、メモリを手で管理する解析処理で起きる典型的な欠陥で、扱いを誤ると細工したデータでプログラムの流れを乗っ取られます。この構造がある限り、同じ種類の脆弱性は今後も見つかると考えるべきです。脆弱性の種類やCVSSの読み方そのものは脆弱性の種類とCVE・CVSSの仕組みで解説しています。

すべてが「ファイルを開かせる」型ではありません。APSB26-141で最もCVSSが高いCVE-2026-81996（8.8）は不適切な認可による権限昇格で、NVDの説明では低い権限の攻撃者が利用者の操作なしで高い権限を得られ、スコープの変更を伴います。共有端末やターミナルサーバーでAcrobat Readerを使っている環境では、こちらも軽く見ないでください。

2026年10月以降の勧告の確認先とAdobe Trust Centerへの移行

Adobeは勧告の掲載先を変えました。AdobeのPSIRTのページには「2026年9月までに公開した勧告のアーカイブで、2026年10月以降の勧告はAdobe Trust Centerを参照」と書かれています。社内の監視手順や、ブックマークでHelpXの一覧を見ている場合は、確認先をTrust Centerに切り替えてください。なお、10月14日に配布された26.002.22031のリリースノートは、勧告欄が「NA」で、脆弱性の修正を伴わない定例の更新です。

悪用されたCVE-2026-34621とKEVに載ったAcrobatの脆弱性

2026年のAcrobat Readerで最も重要なのは、4月に悪用が確認されたCVE-2026-34621です。

CVE-2026-34621のプロトタイプ汚染と4月14日のCVE-2026-34622

NVDによると、CVE-2026-34621はオブジェクトのプロトタイプ属性を不正に書き換えられる「プロトタイプ汚染」（CWE-1321）で、利用者が悪意のあるファイルを開くと、その利用者の権限で任意のコードを実行されます。影響版は24.001.30356と26.001.21367以前、AdobeのCVSS v3.1は8.6（AV:L/AC:L/PR:N/UI:R/S:C）です。CISAは2026年4月13日にKEVへ追加し、米連邦政府機関への対応期限を4月27日としました。IPAの4月の注意喚起も、Adobeが悪用の事実を確認済みと公表しているとして至急の更新を呼びかけています。

緊急更新APSB26-43の3日後の4月14日には、同じプロトタイプ汚染のCVE-2026-34622がAPSB26-44で修正されています。NVDが示す影響版は26.001.21411と24.001.30360・24.001.30362以前で、CVE-2026-34621の影響版より新しい版も対象です。4月11日の緊急更新を当てた端末も、14日の更新まで当てなければこの種類の欠陥が残ったことになります。CVE-2026-34622はKEVに載っていません。

2026年にKEVへ追加された古いAcrobatの脆弱性

2026年10月16日版のKEVで、Acrobat・Readerを含む登録は24件あります。2026年に追加されたのはCVE-2026-34621のほかに2件で、どちらも古いCVEです。

• CVE-2020-9715（Acrobat、Use After Free）：2026年4月13日に追加。修正から約6年後の追加です。
• CVE-2009-3459（Acrobat・Reader、ヒープバッファオーバーフロー）：2026年5月20日に追加。

KEVへの追加は、CISAが悪用の証拠を確認したことを意味します。何年も前の脆弱性でも、更新しないまま残った古い版の端末は攻撃の対象になり得るということです。KEVのカタログは製品名で絞り込めるので、自社が使うPDF製品で定期的に確認してください。KEVの追加を社内の対応期限にどう置き換えるかは、BOD 26-04によるKEVの是正期限の決め方が参考になります。

細工したPDFで端末を乗っ取られる攻撃の流れと想定される被害

PDFは文書の形式ですが、JavaScriptや別のファイルを埋め込めます。「PDFにウイルスが入るか」という問いへの答えは、PDFそのものが実行ファイルになるのではなく、PDFを開いたソフトの脆弱性を突いてコードを動かす、です。典型的な流れは、取引先や公的機関を装ったメールに請求書や通知のPDFを添付し、受け取った人に開かせるものです。開いた時点で脆弱性が突かれると、その利用者の権限でプログラムが動き、遠隔操作のツールを入れられたり、社内の別の端末への足がかりにされたりします。手口の全体像は標的型攻撃の手口と多層防御、なりすましメールの見分け方はフィッシングの手口と組織的な対策で解説しています。

利用者への注意喚起だけでは防げません。業務上開くのが当然のPDFを使ってくるため、「怪しいファイルを開かない」という指示が効かないからです。防御の中心は、脆弱性を残さない更新と、開いてしまっても被害が広がらない設定の2つになります。不審なPDFを開いた後の端末の動きを追えるよう、EDRのログをSIEMやSOCの監視に集めておくと、侵害の有無を後から判断しやすくなります。

手元のAcrobat Readerの版を確かめて最新版へ更新する手順

社内端末の製品名・トラック・OS・版番号を一覧化します。手元の端末を更新する場合は、Acrobat Readerの「ヘルプ」から「アップデートの有無をチェック」を実行し、更新後に版番号を再確認してください。Windowsでは、レジストリのアンインストール情報から版を読み取れます。

# Windows（PowerShell）：インストール済みのAcrobat／Acrobat Readerの名前と版
$keys = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*',
        'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*'
Get-ItemProperty $keys -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -like '*Adobe Acrobat*' } |
  Select-Object DisplayName, DisplayVersion

macOSでは、ターミナルでアプリの情報ファイルから版を読みます（Readerが次のパスにある場合）。

defaults read "/Applications/Adobe Acrobat Reader.app/Contents/Info.plist" CFBundleShortVersionString

表示された版を、勧告の影響版と修正版に照らします。2026年10月17日時点で、公表済みの脆弱性を直すための最低ラインはAPSB26-141の修正版です。

版番号の先頭だけではトラックを判別できません。24で始まる継続トラックもあるため、製品名とトラックを確認してください。継続トラックでは9月17日にも臨時の更新26.002.21931が出ていますが、こちらも勧告を伴うものではありません。最新の版はAdobeのリリースノート一覧で確かめられます。

自動更新が届かない端末と更新設定の確認

Acrobat Readerの継続トラックは既定で自動更新されますが、組織の端末では止まっていることがあります。見落としやすいのは次の3つです。

• 管理者がインストールパッケージを作ったときに、更新を無効にする設定を入れている。
• ふだん電源を入れない共有端末や、持ち出し用のノートPCで、更新の機会が無い。
• クラシックトラックの古い版（サポートの切れた2017年版など）が残っていて、更新が出ない。

更新の動きは2つのレジストリで決まります。Adobeのプリファレンスリファレンスによると、更新モードのModeは既定値が3（自動でダウンロードしてインストール）で、0と1は自動ダウンロードもインストールもしない、2はダウンロードだけ自動でインストールは利用者が選ぶ、4は通知だけでダウンロードしない、です。ポリシー側のbUpdaterを0にするとModeより優先して更新機能が止まり、「ヘルプ」の「アップデートの有無をチェック」も消えます。

# 更新モード（Mode）の現在値：ポリシーではない側のキーなのでWOW6432Nodeを明示する
Get-ChildItem 'HKLM:\SOFTWARE\WOW6432Node\Adobe\Adobe ARM\Legacy' -Recurse -ErrorAction SilentlyContinue |
  ForEach-Object {
    $m = (Get-ItemProperty -Path $_.PSPath -ErrorAction SilentlyContinue).Mode
    if ($null -ne $m) { [pscustomobject]@{ Key = $_.Name; Mode = $m } }
  }

# ポリシーで更新を止めていないか（bUpdater = 0 なら更新機能は無効）
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Adobe\*\DC\FeatureLockDown' -ErrorAction SilentlyContinue |
  Select-Object PSPath, bUpdater

自動更新を無効にすること自体は誤りではありません。業務アプリとの相性を確かめてから配りたい組織は、bUpdaterを0にして、Intuneや資産管理ツールから修正版を配布します。ただしその場合は、勧告が出てから自社で配り終えるまでの期限を決め、配布のパッケージ側の版を勧告ごとに差し替える作業が必ず発生します。この作業を担う人と手順が無いまま自動更新だけを止めると、端末は古い版のまま残ります。台数が多い場合のツール選びはIT資産管理ツールの費用相場で整理しています。

パッチが出る前でも被害を抑える保護モードとJavaScriptの設定

CVE-2026-34621のように、修正が出る前に悪用される脆弱性もあります。更新と並べて、未知の脆弱性にも効く設定を入れておきます。

保護モード・AppContainer・保護されたビューの既定値と無効化の影響

Windows版のAcrobat Readerには、PDFの処理を権限の低いプロセスに閉じ込める仕組みが3つあります。Adobeの管理者向け資料では、AppContainerはWindowsが提供するアプリ単位のサンドボックスで、保護モードが有効であることが前提です。既定値はそろっていません。

bProtectedModeとbEnableProtectedModeAppContainerは利用者側の設定（HKCUのPrivileged）にあり、画面では「環境設定」の「セキュリティ（拡張）」にある「サンドボックスによる保護」に対応します。iProtectedViewは1で「安全でない場所のファイルだけ」、2で「すべてのファイル」を保護されたビューで開きます。つまり何も設定しなければ、保護モードは動いていても、AppContainerと保護されたビューは使われていません。

印刷や他のソフトとの連携で不具合が出たときに、保護モードを切って回避する運用が現場で起きがちですが、これは防御の層を1枚外すことになります。保護モードを0にすると、AppContainerも前提を失って働きません。不具合が出たら、保護モードを切る前に版を最新にして再現するかを確かめ、それでも直らない部署だけを例外にしてください。3つの値は、ポリシー側（HKLMのFeatureLockDown）に書くと利用者が画面から変えられなくなります。

JavaScriptを無効にする設定とPDFフォームを使う業務への影響

プロトタイプ汚染はJavaScriptのオブジェクトの仕組みに関わる欠陥です。JavaScriptの無効化は個別の脆弱性への回避策として保証されたものではなく、更新の代わりにはなりませんが、PDF内のスクリプトを止めることで攻撃面を減らせます。PDFのJavaScriptを使う業務（計算式の入ったフォームなど）が無ければ、無効にしておきます。次の例は、JavaScriptの無効化と前の節の3つの値を、まとめてポリシーで固定します。

# 管理者権限のPowerShell：JavaScript無効化と保護設定をポリシーで固定
# HKLM\SOFTWARE\Policies は32ビットと64ビットで共有されるキーなので、WOW6432Nodeを付けなくてよい
# 32ビット版Acrobat Reader（継続トラック）の場合
$p = 'HKLM:\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown'
# 64ビット統合インストーラー版（AcrobatとReaderでレジストリを共有）の場合は次の行を使う
# $p = 'HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown'
New-Item -Path $p -Force | Out-Null
New-ItemProperty -Path $p -Name 'bDisableJavaScript' -PropertyType DWord -Value 1 -Force
New-ItemProperty -Path $p -Name 'bProtectedMode' -PropertyType DWord -Value 1 -Force
New-ItemProperty -Path $p -Name 'bEnableProtectedModeAppContainer' -PropertyType DWord -Value 1 -Force
New-ItemProperty -Path $p -Name 'iProtectedView' -PropertyType DWord -Value 1 -Force

# 設定の確認
Get-ItemProperty -Path $p | Select-Object bDisableJavaScript, bProtectedMode, bEnableProtectedModeAppContainer, iProtectedView

書き込みに成功しても、インストールされている製品とパスが合っていなければ設定は効きません。値の名前とパスは製品やトラックで変わるため、展開前にAdobeの設定リファレンスで、使っている製品の名前を確かめてください。AppContainerは、プラグインや外部のソフトと連携する業務で動作を確かめてから全社に広げます。JavaScriptを無効にすると、計算や入力チェックをするPDFフォームが動かなくなります。そうしたフォームを使う部署だけは例外にするか、送り元に別の形式で受け取れないかを相談します。

代替のPDFビューアの安全性：SumatraPDF・ブラウザー内蔵ビューアの脆弱性と更新経路

どのPDFビューアも複雑な形式を解析する以上、同じ種類の脆弱性を抱えます。切り替えを考えるときに比べるべきは件数ではなく、修正がどれだけ早く、どの経路で端末に届くかです。

SumatraPDFの2026年の脆弱性と最新版3.6.1の状況

軽さで選ばれることの多いSumatraPDFは、GitHubのセキュリティ勧告が2026年だけで19件公開されています。公式の変更履歴で正式な最新版は2026年4月6日の3.6.1です。直前の3.6（2026年3月17日）の前の正式版は3.5.2（2023年10月）で、正式版の更新は2年半ほど止まっていました。10月17日時点で、3.6.1を影響版とする勧告は9件あり、どれも修正版の欄が空です。たとえばCVE-2026-107735は、sumatrapdfrestrict.iniで設定した権限の制限が効かないという内容で、機能を絞るためにこのファイルを配っている組織ほど影響を受けます。

SumatraPDFの勧告はGitHubで個別に公開され、Adobeのような定例の公開日はありません。閲覧専用の端末で使うとしても、勧告の一覧を自分で監視して、修正版が出たら配る運用が要ります。それができないなら、業務の標準ビューアにはしないほうが安全です。

FirefoxのPDF.js・ChromeのPDFiumの修正の届き方と組み込み利用の例外

ブラウザー内蔵のビューアにも脆弱性は見つかります。FirefoxのPDF.jsでは、細工したフォントで任意のJavaScriptを実行できるCVE-2024-4367が見つかり、Mozillaは2024年5月14日のFirefox 126で修正しました。ChromeのPDFiumでは、2026年4月15日の安定版更新（147.0.7727.101/102）でヒープバッファオーバーフローのCVE-2026-6305が直っています。どちらもブラウザーの自動更新で修正が届くので、管理するソフトが1つ減るのが利点です。

注意が要るのは、自社のWebアプリにPDF.jsを組み込んでいる場合です。CVE-2024-4367の勧告では、npmのpdfjs-distは4.1.392以下が影響を受け、修正版は4.2.67です。2026年8月にもCVE-2026-16633が公表されました。5.6.83以上6.2.108未満の版で、既定値のままenableScriptingが有効かつscript-srcを制限するCSPが無いと、ホストしているドメインの権限で任意のJavaScriptが動きます。修正版は6.2.108です。どちらもブラウザーを更新しても直らず、アプリ側のライブラリを上げる必要があります。

業務で必要な機能から決める切り替えの判断基準

• 閲覧と印刷だけの部署：ブラウザー内蔵のビューアに寄せると、ブラウザーの更新と一緒にPDFの修正も届き、管理するソフトが1つ減る。
• フォーム入力・注釈・電子署名を使う部署：Acrobat Readerを残し、更新・保護モード・JavaScriptの設定を管理する。
• サポートの切れた古いAcrobatが残っている端末：修正が出ないため、版を上げるか撤去する。

組織でAcrobat Readerを安全に配る運用と管理の決めごと

組織の運用で決めておくのは、勧告が出た日にどこまで更新を終えるか、という目安です。Adobeの勧告には、更新の優先度（Priority）が付いており、最も高いPriority 1は、悪用されている、または悪用の危険が高いものに付けられます。9月のAPSB26-141はPriority 2でした。KEVに載ったものやPriority 1が付いたものは定例を待たずに個別の対応期限を決め、それ以外は月例の更新の日、と2段階で決めておくと判断が速くなります。

Acrobat AI Assistantを社内で使うときの管理設定

Acrobatの生成AI機能（AI Assistant）は、脆弱性とは別に、文書の扱いを決めておく対象です。Adobeの企業向け管理の手順では、Admin Consoleの製品プロファイルでAI AssistantとAdobe Expressを無効にすると、AI Assistantへのアクセスを取り消せます。データの扱いについてAdobeは、利用者の文書やデータをAIモデルの学習に使わないと明記し、セキュリティ資料では、保存されるデータを次のように説明しています。

• 選んだ文書から取り出した内容・質問・回答は、暗号化したうえで12時間キャッシュする。
• 会話履歴は、デスクトップ版とモバイル版では利用者の端末に、Web版ではAdobeのクラウドに保存される。
• 利用者が有害な出力として報告した内容は30日間保存する。企業が製品改善への協力に同意した場合も、ファイル・質問・回答を30日間保存する。

機密区分の高い文書を扱う部署で使わせるかどうかは、12時間のキャッシュだけでなく、端末に残る会話履歴と30日間の保存の条件も社内規程と照らして決めてください。監査の観点では、製品改善への同意を組織として出していないかも確認しておきます。

PDFそのものに残る情報の扱い（作成者や編集履歴などのメタデータ）は、PDFのメタデータの確認と削除で整理しています。端末の更新状況や社内システムの公開面を第三者に確かめてもらいたい場合は、脆弱性診断・セキュリティ診断で点検できます。

よくある質問

Acrobat Readerの脆弱性について、よく聞かれる質問をまとめます。

Acrobat Readerの脆弱性はなぜ多いのですか？

PDFがフォント・画像・フォーム・JavaScriptなど多くの種類のデータを1つに詰め込める形式で、解析する処理が複雑になるためと考えられます。勧告に並ぶ欠陥の多くはメモリの扱いの誤りで、2026年9月の勧告では32件のうち11件がUse After Freeでした。NVDに登録された2026年番号のCVEは、10月17日時点で60件あります。

CVE-2026-34621とはどのような脆弱性ですか？

Acrobat Readerのプロトタイプ汚染の脆弱性で、悪意のあるファイルを開くと利用者の権限で任意のコードを実行されます。AdobeのCVSSは8.6で、2026年4月13日にCISAのKEVへ追加されました。影響版は24.001.30356と26.001.21367以前です。その後も修正が出ているため、継続トラックは26.002.21901以降、Acrobat 2024は24.001.30429以降に更新してください。

PDFを開いただけで感染しますか？

任意コード実行の脆弱性の多くは、細工したPDFを開くだけで突かれる型です。CVE-2026-34621のNVDの説明でも「被害者が悪意のあるファイルを開く必要がある」と書かれており、開く以外の操作は求められません。最新版への更新に加え、保護モードの維持で、開いてしまったときの被害を抑えます。JavaScriptの無効化も攻撃面を減らせますが、個別の脆弱性への回避策として保証されたものではなく、計算式の入ったフォームも動かなくなるため、業務への影響を確かめてから入れてください。

保護モードやAppContainerを無効にするとどうなりますか？

脆弱性を突かれたときに、PDFを処理するプロセスが端末全体へ手を伸ばしにくくする層が外れます。AppContainerは保護モードが有効であることが前提なので、保護モードを切るとAppContainerも働きません。AdobeのリファレンスではbEnableProtectedModeAppContainerの既定値は0（無効）なので、何も設定していない端末ではもともと使われていない点にも注意してください。

SumatraPDFは安全ですか？

脆弱性の無いPDFビューアはありません。SumatraPDFは2026年にGitHubで19件のセキュリティ勧告が公開され、最新の正式版3.6.1を影響版とする9件は10月17日時点で修正版の欄が空です。組織の標準ビューアにするなら、勧告を自分で監視して修正版を配る運用が必要です。

関連記事

• 脆弱性とは？種類・CVE/CVSSの仕組みと発見から修正までの実務を解説
• BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方
• 標的型攻撃とは？手口の種類と標的型攻撃メールの見分け方・多層防御による対策を解説
• SOCとは？SIEM・SOARとの違いと監視運用の仕組み・内製とアウトソースの判断を実装者向けに解説【2026年時点】
• メタデータとは？意味・種類と写真やPDFの確認・削除手順を実例で解説