Acrobat Reader | Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') (CWE-1321)

Falha de Prototype Pollution no Acrobat Reader que permite execução arbitrária de código no contexto do usuário atual, explorada ao abrir um arquivo PDF malicioso. Está no catálogo KEV da CISA com exploração confirmada em campo, o que eleva a urgência apesar do EPSS baixo (0,07) — sinal de que a exploração observada é direcionada, não massiva.

A vulnerabilidade é classificada como CWE-1321 (Improperly Controlled Modification of Object Prototype Attributes). Esse tipo de falha ocorre quando código JavaScript embutido em um documento — no caso do Acrobat, scripts executados pelo motor de JavaScript interno usado para formulários, anotações e interatividade de PDF — consegue injetar ou sobrescrever propriedades no protótipo de objetos base (Object.prototype ou equivalentes internos), afetando o comportamento de todo o restante da aplicação que herda desse protótipo.

O vetor de ataque local (AV:L) e a exigência de interação do usuário (UI:R) indicam que o gatilho é a abertura do arquivo pelo próprio usuário — não há exploração remota sem essa ação. O escopo mudado (S:C) no vetor CVSS sugere que a corrupção do protótipo em um componente de baixo privilégio dentro do motor de renderização/script do Acrobat se propaga para outros componentes com privilégios ou contexto diferentes, permitindo que a poluição de protótipo seja escalada até execução de código nativo no contexto do usuário que abriu o documento.

Adobe não publicou (nas fontes disponíveis) detalhes de qual API interna do JavaScript de PDF (Acroforms, XFA, ou outra) é o ponto de entrada da poluição. Sem essa informação do advisory completo, não é possível precisar o componente exato afetado — apenas o mecanismo genérico da classe de vulnerabilidade e o resultado final (RCE no contexto do usuário).

O vetor de exploração é um arquivo PDF malicioso enviado ao alvo — via e-mail, download ou compartilhamento — que a vítima precisa abrir manualmente no Acrobat Reader. Não há exploração remota sem essa interação: não é um ataque de rede que dispensa ação humana, é mais um caso de engenharia social + payload malicioso embutido no documento, exigindo apenas que o Reader esteja instalado e vulnerável (sem necessidade de privilégios elevados ou configuração não padrão além de ter JavaScript habilitado no leitor, que é o padrão de fábrica na maioria das instalações).

A CISA confirma exploração ativa em campo ao incluir a CVE no catálogo KEV com prazo de mitigação de 27/04/2026 (adicionada em 13/04/2026), mas não classifica o uso como associado a campanhas de ransomware conhecidas ('Unknown' no campo correspondente). O EPSS relativamente baixo (0,07) contrasta com a confirmação de exploração ativa — isso é comum em campanhas direcionadas de baixo volume, onde o score preditivo de massa não captura ataques dirigidos a alvos específicos.

O resultado final da exploração bem-sucedida é execução arbitrária de código no contexto do usuário que abriu o PDF — não há elevação automática de privilégio de sistema documentada; o impacto real depende dos privilégios da conta usada para abrir o arquivo.

A ação primária é atualizar o Acrobat Reader para a versão corrigida indicada no boletim oficial da Adobe (APSB26-43). As fontes disponíveis não trazem o número exato da versão corrigida para cada ramo (contínuo, clássico 2020, etc.) — consulte diretamente https://helpx.adobe.com/security/products/acrobat/apsb26-43.html antes de considerar qualquer sistema corrigido, já que aplicar uma versão errada deixa o ambiente exposto sem que ninguém perceba.

Como paliativo até a atualização, reduza a superfície de ataque desabilitando a execução de JavaScript dentro do Acrobat/Reader (Editar > Preferências > JavaScript, desmarcando 'Ativar Acrobat JavaScript'), o que neutraliza a maioria dos vetores de prototype pollution baseados em script embutido em PDF — o custo é a perda de funcionalidades legítimas de formulários interativos e scripts de automação em PDFs corporativos, que pode ser inviável em fluxos de trabalho que dependem disso. Bloquear a abertura de PDFs recebidos de fontes não confiáveis (gateways de e-mail, sandboxing de anexos) é controle compensatório útil, mas não substitui o patch.

Não existe mitigação de rede eficaz (WAF, firewall) porque o vetor é local — o arquivo é processado pelo cliente, não por um serviço exposto. Confiar apenas em antivírus/EDR para deter a exploração não é garantia: PoC pública já circula, o que reduz a barreira de criação de variantes que evadem assinaturas.

Não há assinatura de rede aplicável, já que a exploração ocorre no processamento local do arquivo pelo Acrobat/Reader, sem tráfego de rede distintivo até uma eventual fase pós-exploração (download de segundo estágio, callback C2). Em nível de host, procure por processos filhos anômalos gerados pelo Acrobat/AcroCEF (Reader.exe, AcroRd32.exe) logo após a abertura de um PDF — especialmente processos de shell, PowerShell ou binários incomuns — e por crashes/exceções no motor de JavaScript do Reader registrados em logs de eventos do sistema.

Não há indicador de comprometimento público específico associado a esta CVE nas fontes disponíveis; a ausência de assinatura confiável de exploração é, em si, informação relevante — monitoramento comportamental de EDR no processo do Acrobat é mais confiável do que qualquer regra estática neste momento.