Adobe Reader: explotan una vulnerabilidad zero-day mediante PDFs maliciosos desde diciembre de 2025

Investigadores de EXPMON detectaron una campaña que aprovecha una vulnerabilidad zero-day aún no corregida en Adobe Reader. Los ataques, activos al menos desde diciembre de 2025, usan documentos PDF maliciosos para ejecutar JavaScript ofuscado, recolectar información del sistema y preparar posibles cargas adicionales.

Una vulnerabilidad zero-day previamente desconocida en Adobe Reader está siendo explotada desde al menos diciembre de 2025 mediante archivos PDF manipulados, según una investigación publicada por EXPMON y atribuida a Haifei Li.

El hallazgo describe un exploit de PDF altamente sofisticado. El primer artefacto identificado, Invoice540.pdf, apareció en VirusTotal el 28 de noviembre de 2025, mientras que una segunda muestra fue cargada el 23 de marzo de 2026.

Por el nombre del documento, los atacantes probablemente están recurriendo a técnicas de ingeniería social para persuadir a las víctimas a abrir el archivo en Adobe Reader. Una vez abierto, el PDF desencadena automáticamente la ejecución de JavaScript ofuscado con el objetivo de extraer datos sensibles y recibir cargas adicionales desde infraestructura remota.

De acuerdo con el investigador Gi7w0rm, las muestras observadas incluyen señuelos en idioma ruso y hacen referencia a temas vinculados con eventos actuales de la industria del petróleo y gas en Rusia. Esto refuerza la hipótesis de una operación orientada a entornos o víctimas específicas.

Li explicó que la muestra funciona como un exploit inicial con capacidad para recopilar y filtrar distintos tipos de información, y que podría ser seguido por exploits de ejecución remota de código (RCE) y de escape de sandbox (SBX). También señaló que la vulnerabilidad permite ejecutar APIs privilegiadas de Acrobat y que el comportamiento fue confirmado en la versión más reciente de Adobe Reader.

Además, el exploit puede exfiltrar la información recolectada hacia un servidor remoto identificado como 169.40.2[.]68:45191 y recibir código JavaScript adicional para ejecutarse. Según el análisis, este mecanismo podría emplearse para recopilar datos locales, realizar fingerprinting avanzado y preparar la entrega de etapas posteriores del ataque.

Por ahora, no se conoce con precisión la naturaleza del siguiente estadio del ataque, ya que no se obtuvo respuesta desde el servidor remoto. Esto podría indicar que el entorno de prueba no cumplía con las condiciones necesarias para entregar la carga útil.

Aun así, EXPMON advierte que la capacidad de este zero-day para el robo amplio de información y su potencial encadenamiento con RCE o SBX es suficiente para mantener a la comunidad de seguridad en alerta máxima.

La investigación continúa en desarrollo, por lo que podrían conocerse nuevos detalles en las próximas horas o días.

Fuente:
https://thehackernews.com/2026/04/adobe-reader-zero-day-exploited-via.html

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.