Le PDF reste le socle des échanges dans les arts graphiques, mais cette affaire montre qu'un fichier de production peut devenir un vecteur d'attaque.
Un format PDF devenu surface d'attaque dans les flux graphiques
Dans les ateliers de prépresse, le PDF est omniprésent, BAT, fichiers clients, flux JDF, échanges avec agences et donneurs d'ordre. Cette standardisation repose sur la confiance dans le format et dans les lecteurs comme Acrobat Reader.
Mais ici, l'ouverture d'un fichier suffit à déclencher l'attaque, sans interaction utilisateur. Pour un opérateur PAO ou un service fabrication, cela correspond à un geste quotidien, ouvrir, contrôler, imposer.
Exploitation des APIs d'Acrobat, quand les fonctions natives deviennent vecteur
L'attaque détourne des APIs internes comme util.readFileIntoStream et RSS.addFeed. Ces fonctions sont prévues pour manipuler des flux de données dans des contextes légitimes, lecture de contenu ou gestion de flux RSS.
Dans ce cas, elles servent à lire des fichiers locaux et à exfiltrer des données sans alerte.
Sur un poste de prépresse, cela signifie accès possible aux dossiers de production, aux archives clients. Et dans certains environnements, aux serveurs connectés via des montages réseau.
La vulnérabilité ouvre la voie à des scénarios de type RCE, exécution de code à distance, et contournement de la sandbox d'Acrobat.
Concrètement, l'attaquant peut exécuter des programmes sur la machine cible avec des droits élevés. Un poste compromis peut servir de relais vers un RIP, un flux d'imposition ou un MIS.
Absence de correctif et gestion du risque dans les ateliers
Pendant plusieurs mois, la faille est restée exploitée sans patch. Adobe a publié un correctif le 11 avril 2026, sous la référence CVE-2026-34621, avec un score CVSS révisé à 8,6.
Mais entre décembre 2025 et avril 2026, les flux PDF ont circulé sans protection spécifique.
Et dans les chaînes graphiques, les fichiers entrants ne passent pas toujours par des outils de sandboxing ou d'analyse.
Cette faille remet en question une idée ancrée, le PDF comme document passif. Dans les industries graphiques, où le fichier est au cœur de la production, la sécurité des flux devient un enjeu opérationnel.
