2026 年 6 月，Adobe 推出了安全補丁，涵蓋其產品中的 123 個漏洞，其中 47 個漏洞被評為嚴重漏洞。 Adobe Acrobat Reader 也在其中。它也在四月和三月以及過去幾年的幾乎每個補丁週期中都出現在列表中。在某些時候，值得一問：為什麼讀取文件的程式一直需要這麼多修復？
答案與 Adobe 的粗心無關，而更多地與 PDF 文件的實際含義有關，以及這對於經常使用這些文件的人意味著什麼。
PDF 文件比看起來更複雜
從外觀上看，PDF 看起來就像一個鎖定文件 - 列印頁面的數位版本，完全符合預期。但在底層，PDF 格式支援 JavaScript 執行、嵌入字體、3D 物件、數位簽章、表單欄位、多媒體附件以及外部伺服器的連結。它被設計為一個多功能容器，而不僅僅是靜態文字圖像。
這種複雜性正是 PDF Security 成為重複出現的問題的原因。每一個讓 PDF 有用的功能——互動式表單、嵌入式腳本、載入外部資源的能力——也是潛在的攻擊媒介。惡意 PDF 在您開啟它時執行隱藏程式碼時看起來完全正常。
這不是理論上的。 2026 年 4 月，Adobe 針對 Acrobat Reader 中的零日漏洞發布了緊急修補程式（CVE-2026-34621），該漏洞已被廣泛利用。安全研究員 Haifei Li 發現惡意 PDF 樣本濫用漏洞的時間可以追溯到 2025 年 11 月，這意味著攻擊者在發現漏洞之前已經悄悄使用了該漏洞數月。打開文件就足夠了。沒有額外的點擊，沒有權限提示。 PDF 打開，看起來很正常，程式碼在後台默默運行。
為什麼這種情況會不斷發生
Adobe Acrobat 自 2000 年代初以來一直在不斷修補。 Adobe 並不是沒有嘗試，每次更新都真正彌補了真正的漏洞。問題是結構性的：Acrobat 是一個大型、舊的程式碼庫，必須處理種類繁多的 PDF 文件，包括幾十年前基於不同安全假設創建的文件。每當研究人員找到濫用 PDF 功能的新方法時，就需要新的修補程式。
2026 年 6 月星期二修補程式批次包括對 Acrobat Reader 中任意程式碼執行和權限升級漏洞的修復 - 幾乎每個 Adobe 安全公告中都出現了相同的類別。這些不是邊緣情況。基於堆疊的緩衝區溢位、釋放後使用錯誤、越界讀取——這些漏洞類型會重複出現，因為底層架構為它們創造了重複出現的機會。
攻擊者也知道這一點。基於 PDF 的攻擊足夠可靠，即使在 2026 年，它們仍然是惡意軟體的標準傳遞機制。該文件格式的普遍性（幾乎每個設備都可以打開 PDF）使其成為一個有吸引力的目標。
開啟錯誤檔案時實際上會發生什麼
2026 年 4 月的零時差攻擊是一個有用的案例，研究了基於 PDF 的攻擊在實踐中的情況。這個漏洞的工作原理是利用 Acrobat Reader 處理 JavaScript 的方式中的一個缺陷，具體來說，是一個原型污染錯誤，它允許攻擊者修改應用程式的 JavaScript 物件的行為。
當受害者開啟惡意 PDF 時，隱藏程式碼可以從遠端伺服器提取額外的 JavaScript 並在 Acrobat Reader 中執行它。從那裡，它可以從本地電腦竊取檔案並將其發送出去——繞過 Acrobat 用於限制應用程式可以存取的沙箱保護。安全研究人員證實，即使沒有實現完全遠端程式碼執行，本地文件也有可能被盜。
簡單來說：有人寄給您一份 PDF，看起來像發票、合約或報告。您可以使用 PDF 編輯器 或檢視器來開啟它。螢幕上沒有發生任何異常情況。同時，文件正在被讀取並發送到其他地方。
真正降低風險的習慣
保持 PDF 軟體更新是您能做的最重要的事情，而且不是可選的。在 Adobe 修補之前，四月的零日漏洞已經被利用了幾個月。在此期間，所有運行未打補丁版本的 Acrobat Reader 的人都被揭露了。補丁發布後，視窗就關閉了——但僅限於真正安裝了它的人。
來源比大多數人意識到的更重要。來自同事、知名供應商和知名機構的 PDF 與透過電子郵件主動發送的 PDF、在不熟悉的訊息中作為附件出現或來自來源不明的文件共享連結的 PDF 具有不同的風險特徵。這並不是對每個文件都偏執的理由，但這是在打開您不期望的內容之前暫停的理由。
在 Acrobat Reader 中停用 JavaScript 可消除大部分攻擊面。大多數日常PDF工具任務－閱讀文件、填寫表格、新增簽名－根本不需要JavaScript。您可以在 Acrobat 首選項中的編輯 > 下將其關閉。首選項> JavaScript。權衡是一些複雜的互動式 PDF 可能無法正常工作，但對於大多數用戶來說，這是一個合理的交換。
為什麼處理 PDF 的位置很重要
桌面 PDF 軟體具有基於瀏覽器的工具所沒有的固有風險。本機安裝的應用程式中的漏洞可以與您的檔案系統、網路和其他正在運行的軟體進行互動。這就是 4 月份零日攻擊所利用的環境——Acrobat Reader 對本地文件的存取使得資料被盜成為可能。
基於瀏覽器的工具在完全不同的環境中運作。當您將文件上傳到 WukongPDF 進行壓縮、合併或轉換時，處理過程發生在沙盒 Web 環境中，該環境對本機系統的存取權限與桌面應用程式不同。您的電腦上沒有執行需要修補的持久軟體，更新週期之間沒有可利用的應用程式級漏洞。
這並不是反對桌面軟體滿足複雜的PDF工作流程需求——在某些合理的情況下，全功能的本機應用程式是有意義的。但對於最常見的文件任務來說，架構差異很重要。在瀏覽器標籤中運行然後關閉的工具比具有深度系統存取權限的持久性應用程式的攻擊面要小得多。考慮到 PDF 被用作攻擊媒介的一致性，這種差異值得考慮。