NCSC waarschuwt: 'grootschalig misbruik' Adobe Acrobat-kwetsbaarheid - update

Het Nationaal Cyber Security Centrum waarschuwt dat er op korte termijn waarschijnlijk 'grootschalig misbruik' zal plaatsvinden via een kwetsbaarheid in Adobe Acrobat. Er is al een update voor de pdf-leessoftware beschikbaar en het NCSC adviseert om die zo snel mogelijk te installeren.

Volgens het NCSC gaat het om de kwetsbaarheid CVE-2026-34621, zo merkt Security.nl op. Deze kwetsbaarheid geldt voor Adobe Acrobat 2024, DC, Reader en Reader DC. Deze kwetsbaarheid heeft een CVSS-score van 8,6 van de 10, wat een indicatie geeft van hoe ernstig deze is.

Het probleem is volgens het NCSC dat er publiekelijk exploitcode beschikbaar is. Kwaadwillenden kunnen deze kwetsbaarheid dus relatief gemakkelijk misbruiken door het slachtoffer een aangepast pdf-bestand te laten openen. Hierna is het mogelijk om willekeurige code op het systeem van het slachtoffer uit te voeren. Voor zover bekend wordt de kwetsbaarheid sinds november 2025 misbruikt.

Gebruikers moeten volgens het NCSC zo snel mogelijk de recentste versie van Adobe Acrobat installeren. Dat zal voor veel gebruikers automatisch gebeuren. Gebruikers kunnen via hun Adobe-software controleren of dit gebeurt:

• Navigeer naar het Menu (linksboven)
• Selecteer Help
• Kies Check for updates

Alle versies van Adobe Acrobat (Reader) DC van versie 26.001.21367 of ouder zijn vatbaar voor de kwetsbaarheid. Voor Acrobat 2024 geldt voor versie 24.001.30356 hetzelfde.

Update, 14.05 uur – Op de website van het NCSC staat foutief dat de CVSS-score hoger is dan deze eigenlijk is. De juiste score is in het artikel verwerkt. Met dank aan pheijms.

Reacties (53)

[Asitis]

Beter nog, heeft er iemand goede suggesties om volledig weg te blijven van Acrobat? Ik vind het een verschrikkelijke ervaring iedere keer dat ik het moet gebruiken met al die "activaties" om een account aan te maken, AI services aan te gaan zetten en allerlei reclame meuk waar ik echt niet op zit te wachten omdat ik een PDF moet openen..

[Tielenaar]

Elke browser kan PDF's openen tegenwoordig. Zelfs invulbare PDF's kan je invullen en opslaan.

[MatiasG]

Er kan tegenwoordig zelfs JavaScript uitgevoerd worden in PDF. In zwaar beperkte mate maar toch, ik kan er met mijn hoofd echt niet bij waarom dit nodig is. Een sandbox is nooit perfect.

Gelukkig kan het in Firefox uitgezet worden in about:config.

[Reactie gewijzigd door MatiasG op 14 april 2026 12:34]

[Zoop]

Die snap ik inderdaad ook niet, PDF is toch met name bedoelt om een printbaar formaat te zijn, hoe werkt dat dan met script? Als je iets dynamisch en of bewegende dingen wilt, daar is html en js dan toch precies voor?

[moonlander]

Validatie van invulvelden? Of checkbox conditie toon info of extra invulvelden etc.

[Zoop]

Wederom, dat is waar je HTML voor hebt. Allemaal functionaliteit waar je niks aan hebt als je het uitprint. Als er velden bijkomen en verdwijnen afhankelijk van wat je invult .... waarom is dat dan pdf en niet gewoon een webpagina? Ook die kan je prima downloaden en lokaal draaien (met script en style in het bestand zelf) als het moet.

Is allemaal het wiel een beetje opnieuw uitvinden dat alleen maar vulnerabilities en attack vectors introduceert, schoenmaker blijf bij je leest. Je zal ongetwijfeld dan ook geneuzel krijgen dat bepaalde readers dit (uit veiligheidsoverwegingen) niet eens doen, dus dan maakt het voor de ervaring ook nog eens uit welke specifieke reader je ervoor gebruikt.

[ZinloosGeweldig]

Het primaire doel van PDF zit hem in de eerste P: portability. Waar een HTML of Word bestand afhankelijk van waar het weergegeven wordt, er anders uit kan zien, moet een PDF overal op dezelfde manier weer te geven zijn. Dat is dus inclusief als het document uitgeprint is. Maar "printbaarheid" an sich is nooit het primaire doel geweest, dat was portability over alle lagen heen.

[jeroen3]

Mechanische tekeningen kunnen een venster met een beweegbare 3D render bevatten.

Complexe bedradingsschema's kunnen geavanceerde linkjes en verschillend gesorteerde inhoudsopgraves bevatten. Super handig.

[kayjay]

Welke param is het precies in about:config? pdfjs.enableScripting?

[therazo]

Ja, dat klopt. "pdfjs.enableScripting" moet op "False" staan.

[raceeend9]

Doe ik ook maar de zoekfunctie werkt niet zo lekker in schema's.

SumatraPDF is een aanrader

[mutley69]

Ik ben geen voorstander voor pdf's een browser te gebruiken. Dan krijg je nog meer risico's op bugs en uitbraken. De remedie wordt dan erger dan de kwaal lijkt me.

[Tielenaar]

Niet mee eens. Browsers worden vaker geupdatet, en automatisch. PDF readers staan sinds jaar en dag bekend om lekken en browsers sandboxen dit behoorlijk agressief. Er zijn geen grote pdf lekken geweest in browsers die actief misbruikt zijn, dat kan je van standalone readers niet zeggen.

En welke bugs?

[zordaz]

Precies. Ik heb hier op een zakelijke, managed W11 laptop noodgedwongen nog Adobe Acrobat staan, deze installatie is 1,41 GB groot. Compleet absurd, het is echt totale bloatware.

[Wafeltje]

PDF-XChange. Op 0,1% na werkt het bij ons op kantoor voor iedereen. In het verleden had een select aantal (alsnog honderden) de dure acrobat PDF meuk. Tegenwoordig heeft iedereen PDF-XChange, niet alleen kon iedereen het krijgen voor in totaal een lager bedrag, ook hadden we dus minder overhead met licentiebeheer etc.

Voor Photoshop e.d. zijn er ook alternatieven, dus hopelijk snel volledig van Adobe af.

[willemb2]

Hier ook goede ervaring mee. Van Canadese makelij, maar alleen Windows helaas.
Met de Editor (Plus) versie kan je ook goed bewerken, comprimeren, OCR.
Aanschafprijs is voor privé aan de pittige kant, maar een licentie is voor 2 systemen en verlengen kost maar weinig.
Met verder Kdenlive, GIMP, Inkspot, Scribus en XnView MP hier ook al tijden niets meer van Adobe.

[Bart.net]

Ik ben ook overgestapt op pdf x-change. Het enige verschil wat ik ben tegengekomen is dat een document wat ik in Acrobat in scan veel mooier/duidelijker wordt dan pdf x-change.

En zoals al gezegd dat er alleen een Windows versie is.

[barbarbar]

Ik gebruik altijd sumatra pdf. Alleen voor invullen en ondertekenen gebruik is soms nog acrobat, maar daar zijn ook goeie alternatieven voor.

[Aerkhanite]

SumatraPDF als je een apart stuk software wilt. MuPDF op je tel.

Anders je browser .

[brinkdinges]

SumatraPDF is een heerlijk snelle en simpele reader; ook Windows Explorer previews zijn 10x sneller dan bij Acrobat. Twee caveats:

1. Je kunt geen forms invullen.
2. Acrobat pikt bij elke update de previewer in. Maar die kun je binnenkort (of nu al) snel terugzetten vanuit SumatraPDF.

https://www.sumatrapdfreader.org/free-pdf-reader

[crzyhiphopazn]

Foxit PDF Reader en Acrobat Reader verwijderen en nooit meer installeren.
ik heb in jaaaaaaaaren geen Acrobat Reader meer geinstalleerd staan.

Als ik ergens een PDF moet invullen doet een bedrijf dat via DocuSign online.

[Reactie gewijzigd door crzyhiphopazn op 14 april 2026 12:38]

[Speeder]

Stuurt Foxit nog steeds telemetry door naar China zonder dat je het uit kan zetten?

[[Roland]]

pdf24 is the way to go
https://www.pdf24.org/nl/

Absoluut reclame en bloatware vrij, wel wat oudewetse interface.

[Triblade_8472]

Foxit is leuk.

Bluebeam kan ook veel, maar is bedoeld voor bouwtechnische zaken.

[Jack Flushell]

Er zijn echt talloze alternatieven. Ook gratis, zoals Foxit of Sumatra. Verder kan het in de meeste browsers ook. Ik heb in elk geval al jaren niet meer dat Acrobat Reader gedrocht geïnstalleerd.

[TheNephilim]

Persoonlijk ben ik fan van https://www.pdfgear.com/.

[sambalbaj]

Tegenwoordig zitten de meeste pdf functies ook wel in je browser inclusief formulieren.

Er zijn natuurlijk specialistische (zakelijke) functies waarvoor dit wel nodig is, maar voor thuisgebruik is dit typisch zo'n programma wat men al jaren gebruikt en daarom steeds installeert terwijl het daarvoor eigenlijk niet meer nodig is.

Sumatra anders als apart programma, maar dat wordt ook nauwelijks geupdate. Zelf er afgegooid omdat in de browser net zo makkelijk was.

[Reactie gewijzigd door sambalbaj op 14 april 2026 12:13]

[3raser]

Precies dat laatste. Gewoon verwijderen en nooit meer naar omkijken. Het is een van de meest irritante stukjes software die ik ooit heb gezien. Traag, bloated en bij iedere update een herstart van je systeem eisen. Kom op, het is een PDF reader! Waar is die herstart voor nodig?

[dasiro]

inderdaad en met de hoeveelheid CVE's van tegenwoordig is het momenteel geen slecht idee om het aantal attack-vectors te beperken door redundante functionaliteit te analyseren en enkel third-party software te gebruiken als het niet anders kan, want je browser staat toch al op je toestel en zal vaak sneller worden geüpdatet dan dit soort tools.

[CriticalHit_NL]

Tsja het ligt dan ook aan de software bouwer hoe goed ze de zaken hebben dichtgetimmerd.

Immers is Edge ook een Third Party (Chromium) die zoals alle andere chromium browsers 'native' de PDF kan bekijken (PDFium), maar het is maar net of de browser dan ook met een lek hierbij uitgebuit kan worden.

Er zijn daarin in het verleden ook verscheidene exploits voor geweest, de vraag is wie het snelst en het effectiefst acteert op deze lekken.

Ik heb Acrobat al wel legio jaren geïnstalleerd en was al op de hoogte dat een patch zou uitkomen dus ook hier een oog op in het zeil gehouden, kan natuurlijk altijd de browser zelf gebruiken als alternatief 'dekkingsmiddel'. De keuze kan juist ook een voordeel hebben.

[dasiro]

klopt, maar als je 2 toepassingen hebt is de kans op een lek in een software-product dat je gebruikt ook 2x zo groot Als je van de 2e toepassing dan enkel maar functionaliteit gebruikt die ook in de eerste zit, dan is elke lijn code in de 2e een extra mogelijke exploit die er niet zou zijn als je ze niet geïnstalleerd zou hebben.

[pheijms]

Volgens mij is de CVSS-score bijgesteld naar 8.6.

April 12, 2026: Adjusted CVSS Attack Vector from Network (AV:N) to Local (AV:L), changing the overall CVSS from 9.6 to 8.6.

Zie Adobe Security Bulletin.


@Yannick Spinner

[Reactie gewijzigd door pheijms op 14 april 2026 12:59]

[YannickSpinner]

Ah dat stond niet op de website van het NCSC, thanks! Ik fix

[Triblade_8472]

Klopt inderdaad.
Nog een andere bron: https://www.cve.org/CVERecord?id=CVE-2026-34621

Je kan de calculatie hier verifiëren voor de liefhebbers: https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Als je AV (Attack Vector) naar L zet ipv N, dan veranderd de score van 9.6 naar 8.6.

[Reactie gewijzigd door Triblade_8472 op 14 april 2026 13:13]

[Chromebooks.nl]

Ik word haast agressief als Mac gebruikers op een of andere manier die Adobe pdf malware vrijwillig op hun systeem installeren.

Je kunt zonder die crap gewoon native pdf openen maken printen noem het maar. Geen enkele reden om een paar gigabyte te installeren voor essentieel een groot beveiligingslek

[Reactie gewijzigd door Chromebooks.nl op 14 april 2026 13:51]

[gesmurfed]

Als Mac gebruiker instaleer ik wat ik zelf wil, en daar heb jij niets mee te maken

[Chromebooks.nl]

Vind je het niet jammer dat quick look niet meer werkt en je elke pdf moet openen handmatig om de inhoud snel door te scannen?

[gesmurfed]

Quick Look werkt gewoon? Dubbel klik en pdf opent in Preview?

[Chromebooks.nl]

Quick look is spatiebalk of force click

[gesmurfed]

Ja, spatiebalk en je krijgt quick look

[Miglow]

Google gewoon naar de lichtste pdf viewer. Die hoeft echt geen 100-en MB's te zijn.

[DigitalExorcist]

Doe dat maar gewoon niet, Google serveert meer malafide linkjes dan normále tegenwoordig, vooral als het om "gratis" tooltjes en software gaat......

[KouweZakkie]

Sumatra PDF voor Windows (supperlekkersnel). Op Linux gebruik ik Okular, is prima.

In het UMC waar ik werk zit iedereen nu vet te stressen, want Adobe, LOL!

[DigitalExorcist]

Ja, als je die ene versie van SumatraPDF weet te vinden die níet trojanized is met malware ... en alle patches netjes installeert voor alle backdoors en security issues daarmee...

An Offer You Can Refuse: UNC2970 Backdoor Deployment Using Trojanized PDF Reader | Google Cloud Blog

[Reactie gewijzigd door DigitalExorcist op 14 april 2026 13:06]

[KouweZakkie]

Kan elk alternatief ook overkomen. You do you.

EDIT: Je moet wellicht even doorlezen in je eigen linkje. Want, namelijk (onder meer):

Based on the surrounding context, the user was likely instructed to open the PDF file with the enclosed trojanized PDF viewer program based on the open-source project SumatraPDF. As previously stated, this technique did not employ a vulnerability in the original SumatraPDF source code.

Vette druk is van mijn hand.

Belangrijk dus om op te merken dat Sumatra PDF zelf, of de aangeboden downloads, nooit gecompromitteerd zijn of zijn geweest, maar men dus zo stom moet zijn om een PDF te openen met een PDF-reader die aan de betreffende mail of iets dergelijks is gehangen. Tja, sorry hoor, maar dan ben je toch echt wel héél erg dom bezig.

[Reactie gewijzigd door KouweZakkie op 14 april 2026 13:18]

[DigitalExorcist]

Ja daarom heet het een 'trojanized version' ... niet de échte, die zal vast wel betrouwbaar zijn, maar het ging om @Miglow z'n post die stelt "Oh google maar gewoon de eerste de beste'. En dát moet je dus never nooit doen.

Google is totaal niet in staat om malafide linkjes te onderscheppen/verwijderen uit hun zoekresultaten, en juist op het moment wordt je daar overspoeld met malware. Malafide versies van VLC Player, PDF readers, driver updaters, Notepad++, noem maar op - alle gratis tooltjes die je als éérste wil gebruiken worden misbruikt om malware te serveren.

Nee, dus niet de échte versies, maar nepversies die als echt aangeboden worden.

[Miglow]

Ik heb een tijd foxit gebruikt, maar die werd langzamerhand ook steeds zwaarder en uitgebreider en nu zou ik niet weten welke pdf reader ik op mijn computers heb staan. Ik gebruik ze niet zo vaak.

[Craften]

UMC heb ik nog van Windows 7 -> Windows 10 geholpen circa 2020, daar hadden ze toentertijd redelijk een standaard van uitrollen van updates, dus dat zou redelijk goed moeten komen nu, hoop ik

[Triblade_8472]

Volgens mij maakt deze kwetsbaarheid gebruik van JavaScript.

Als.je niet direct kan/wil patchen, zet dit ASAP uit middels het registery!

Zie ook: https://www.adobe.com/dev...ls/AppSec/javascript.html

[HansvDr]

Ik blijf zoveel mogelijk weg van pdf. En mocht ik een document ontvangen: de browser.

[mbbs1024]

Kunnen bedrijven die gatenkaas produceren ook verantwoordelijk gesteld worden voor de schade die mensen op die manier oplopen, of schuiven ze die verantwoordelijkheid mooi af door middel van hun licentie overeenkomst, en zijn zulke overeenkomsten legaal bij gatenkaas software ?

Laat de wetgever toe dat men brakke produkten verkoopt ?

[aLPHa_NRG]

Voor tekenen en andere PDF aanpassingen gebruik ik eigenlijk alleen maar het open alternatief Stirling PDF. Voor mij een prima alternatief.

https://github.com/Stirling-Tools/stirling-pdf

Tja, en om PDFs te bekijken is een browser al voldoende. Gratis en geen vervelende vendor lock in meer. Dus Adobe is niet meer nodig met alle alternatieven die tegenwoordig beschikbaar zijn.

[Reactie gewijzigd door aLPHa_NRG op 14 april 2026 15:23]

[Theo_de_Ripper]

Ik ben overgestapt op PDF24 Creator 🐑 Gratis en je kunt er werkelijk van alles mee. Bij Adobe moet je voor elk dingetje betalen.