Kerngegevens
- Leverancier
- Adobe
- Soort software
- kantoorsoftware
- Getroffen versies
- Acrobat DC t/m 26.001.21367
- Acrobat Reader DC t/m 26.001.21367
- Acrobat 2024 t/m 24.001.30356
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Acrobat DC 26.001.21411
- Acrobat Reader DC 26.001.21411
- Acrobat 2024 24.001.30362 (Win), 24.001.30360 (Mac)
- CVE gepubliceerd
- 11 april 2026
- Op de KEV-lijst sinds
- 13 april 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Adobe Acrobat en Acrobat Reader zit een fout waarbij eigenschappen van objecten (prototypes) niet goed worden afgeschermd. Dit heet 'prototype pollution'. Een aanvaller kan hiermee code laten uitvoeren met de rechten van de ingelogde gebruiker. Het lek staat sinds april 2026 op de lijst van actief misbruikte lekken (KEV).
Wie loopt risico?
Je loopt risico als je een van de getroffen versies van Acrobat DC, Acrobat Reader DC of Acrobat 2024 gebruikt. De aanval werkt alleen als jij een kwaadaardig bestand opent, bijvoorbeeld een pdf uit een e-mail of van een website. De aanvalsroute is lokaal en de code draait met jouw gebruikersrechten. Bij particulieren en organisaties die pdf-bestanden van buitenaf openen is de kans op blootstelling het grootst.
Wat moet je doen?
Controleer je versie
Open Acrobat of Acrobat Reader en kijk bij Help > Over Adobe Acrobat welke versie je hebt. Versies tot en met 26.001.21367 (Acrobat DC en Reader DC) en tot en met 24.001.30356 (Acrobat 2024) zijn getroffen.
Werk Acrobat of Reader bij
Installeer de update uit Adobe-bulletin APSB26-43. Voor Acrobat DC en Acrobat Reader DC is dat versie 26.001.21411. Voor Acrobat 2024 is dat 24.001.30362 (Windows) of 24.001.30360 (Mac).
Wees voorzichtig met bestanden
Open geen pdf-bestanden van afzenders die je niet kent of niet vertrouwt, ook niet na de update. Zo verklein je de kans dat een kwaadaardig bestand je systeem bereikt.
Beheer je meerdere computers?
Zorg dat de update op alle werkplekken wordt uitgerold en controleer daarna of er geen oudere versies meer in gebruik zijn.
Lees het advies van de leverancier
Alle details over getroffen versies en updates staan in het bulletin van Adobe (APSB26-43).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een 'Improperly Controlled Modification of Object Prototype Attributes' (CWE-1321), ofwel prototype pollution. Een aanvaller kan de attributen van een object-prototype aanpassen, waardoor het gedrag van de applicatie verandert. Dit kan leiden tot het uitvoeren van willekeurige code binnen de context van de huidige gebruiker. Voor misbruik moet het slachtoffer een kwaadaardig bestand openen, dus gebruikersinteractie is nodig. De CVSS-vector (AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) geeft een score van 8,6, met gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. Er is geen publiek exploit bekend in de gegevens en er is geen koppeling met ransomware gemeld.
CVSS-vector (versie 3.1, basisscore 8,6, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-1321 · Onjuist beheerde wijziging van objectprototype-attributen (prototype pollution)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 7,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 13 april 2026
- Deadline van CISA
- 27 april 2026
- Gebruikt door ransomwaregroepen
- Niet bekend