Vulnerabilità in Adobe Acrobat: un PDF di 745 byte basta a mandarlo in crash (e poco più per installare malware) (aggiornato: 16 ottobre 2026, ore 08:17)

Basta un PDF da pochi byte per mandare in crash Adobe Reader. E, con un po' di lavoro in più, potrebbe anche essere possibile installare malware. È questo, in breve, il risultato ottenibile sfruttando la nuova vulnerabilità CVE-2026-81983: una scrittura fuori dai limiti (out-of-bounds write) dentro Acrobat.dll, raggiungibile semplicemente aprendo un documento che incorpora un'immagine a 16 bit costruita ad arte.

Un'immagine a 16 bit e la memoria va in pezzi

Il difetto si trova nella pipeline che gestisce le immagini di Acrobat. L'analisi pubblicata da Remedio la descrive come «una superficie vecchia, sempre attiva, che entra in funzione nel momento stesso in cui si apre un PDF». Non servono JavaScript, form o allegati. Basta un singolo oggetto immagine con parametri anomali.

Il caso minimo ridotto all'osso contiene una sola immagine incorporata, con larghezza impostata a 0x20000000 (oltre 536 milioni di pixel) e 4 componenti di colore, cioè CMYK. La funzione vulnerabile riceve il contesto dell'immagine, un buffer di campioni a 16 bit, la larghezza e un flag del chiamante. Calcola poi il numero di iterazioni del ciclo moltiplicando la larghezza per il numero di componenti. Con valori di questo genere il conto va fuori controllo: la falla è infatti classificata come integer overflow che sfocia in una scrittura fuori dai limiti.

Il risultato è un crash del programma.

Il fuzzer l'ha scritto un LLM

Lo strumento usato per trovare la falla è un fuzzer su misura, generato da un LLM. Il principio è semplice e mirato: il fuzzer racchiude un singolo XObject immagine in un documento PDF minimo ma valido. Poi ne altera in modo sistematico larghezza e altezza, profondità di bit, spazio colore e numero di componenti, catena dei filtri di decodifica e perfino i byte grezzi dei campioni.

L'approccio ha funzionato fin troppo bene: secondo Remedio, il fuzzer ha fatto emergere molti bug, e CVE-2026-81983 è soltanto quello dall'impatto maggiore. Per chi si occupa di sicurezza è un segnale chiaro. Il codice di parsing delle immagini, scritto anni fa e mai davvero spento, si presta bene a questo tipo di bombardamento automatizzato. E oggi costruire l'attrezzatura costa molto meno di prima.

Anche Adobe, del resto, si muove nella stessa direzione. L'azienda dichiara di usare modelli AI di frontiera per cercare vulnerabilità nel proprio codice, mentre gli ingegneri continuano a rivedere e approvare le modifiche suggerite dall'AI. Nel frattempo è passata dai bollettini di sicurezza mensili a quelli quindicinali, pubblicati il secondo e il quarto martedì del mese.

Cosa fare adesso

Se usi Acrobat o Acrobat Reader su Windows, la regola è quella di sempre: aggiornare appena Adobe rilascia una nuova versione.

Fonti: remedio.io, helpx.adobe.com, adobe.com