Adobe Acrobat/Reader にヒープバッファオーバーフローの脆弱性（CVE-2009-3459）— 細工PDFで任意コード実行のおそれ

1PDFを処理する部分の欠陥

この脆弱性は、PDFを処理する Adobe Acrobat と Reader のメモリ取り扱いに起因します。プログラムが扱うメモリ領域に対し、想定を超えるデータが書き込まれることで内部のデータ構造が壊れ、その結果として攻撃者が用意したコードが動く余地が生まれる、というのがヒープバッファオーバーフローの基本的な性質です。

CISAの記録では、細工されたPDFファイルがメモリ破壊を誘発し、遠隔の攻撃者が任意のコードを実行しうるとされています。攻撃が成立するには利用者が当該ファイルを開く操作が必要（CVSS の評価軸では UI:R＝利用者の関与が必要）であり、メールの添付やダウンロードした文書など、日常的にPDFを開く場面がそのまま入口になりうる点が特徴です。

2文書ファイルが攻撃経路になる

PDFは業務でも私的にも極めて頻繁に開かれる文書形式であり、「文書ファイルそのものが攻撃の媒体になる」典型例といえます。NVD公式のCVSS（深刻度を数値化した共通指標）では 8.8（HIGH／CVSS:3.1 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）と評価されており、機密性・完全性・可用性のいずれにも高い影響が想定される区分です。

元は2009年に公表された古い脆弱性ですが、2026年5月にKEVへ追加された事実は、サポートの切れた旧バージョンを使い続けることが今なお現実的な危険につながりうることを示しています。

3手元のバージョンを確かめる

この脆弱性に対する基本的な向き合い方は、まず手元のAcrobat／Readerのバージョンを確認し、ベンダーであるAdobeの案内に従って対応する版へ更新することです。米CISAは連邦機関に対し、拘束的運用指令 BOD 22-01 に基づきベンダー指示に沿った緩和を求め、緩和が適用できない場合は当該製品の使用を停止するよう示しています。是正期限は2026年6月3日と設定されています。

4利用者が開くかどうかで対策が変わる

同じ遠隔コード実行でも、攻撃の成立に利用者の操作が要るかどうかで、防ぎ方がまったく違います。この記録はファイルを開く操作が起点になる側です。

PDFは業務でも私的にも極めて頻繁に開かれる文書形式であり、文書ファイルそのものが攻撃の媒体になる典型例です。元は2009年に公表された古い脆弱性ですが、2026年5月にKEVへ追加された事実は、サポートの切れた旧バージョンを使い続けることが今なお現実的な危険につながりうることを示しています。