Intune Proactive Remediation – Aplicación de versión de Adobe Acrobat/Reader (CVE-2026-34621)

Este repositorio contiene scripts de Proactive Remediation de Microsoft Intune para reducir la exposición a vulnerabilidades de Adobe Acrobat/Reader mediante:

1. Aplicar una versión mínima parcheada (detectar compilaciones obsoletas y eliminarlas).
2. Reducir inmediatamente la superficie de ataque deshabilitando JavaScript en Acrobat/Reader mediante claves de registro de directiva.

Estos controles se pueden usar juntos:

• Mitigación a corto plazo: deshabilitar JavaScript para reducir el riesgo de inmediato.
• Solución a largo plazo: aplicar versiones parcheadas (y eliminar instalaciones heredadas).

---

Por qué existe esto (contexto de seguridad)

Adobe publicó una actualización de seguridad para Acrobat y Reader que aborda CVE‑2026‑34621, que Adobe confirmó que se está explotando activamente y que puede provocar ejecución de código arbitrario. La versión corregida para la rama continua Acrobat/Reader DC es 26.001.21411. 1

En entornos administrados, tener disponible el instalador más reciente no es suficiente: los dispositivos pueden seguir ejecutando compilaciones antiguas. Este repositorio ayuda a garantizar que las versiones vulnerables no queden instaladas y permite una mitigación adicional (deshabilitar JavaScript) para reducir la exposición de inmediato.

---

Contenido

A) Aplicación de versión (Detectar obsoletas / Eliminar heredadas)

• Detect-AdobeAcrobat.ps1
• Remediate-AdobeAcrobat.ps1

B) Mitigación inmediata (Deshabilitar JavaScript en Acrobat/Reader DC)

• DetectionJavaScript.ps1
• RemediateJavaScript.ps1

---

A) Scripts de aplicación de versión

1) Detección: Detect-AdobeAcrobat.ps1

Propósito: Detectar instalaciones de Adobe Acrobat por debajo de una versión mínima definida.

Comportamiento:

• Comprueba ambas ramas del registro de desinstalación (64 bits y 32 bits):
  • HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
  • HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall
• Coincide con productos donde DisplayName es similar a Adobe Acrobat*
• Compara DisplayVersion con:
  • Versión mínima: 26.001.21411 (compilación parcheada para CVE‑2026‑34621) 1

Códigos de salida:

• 0 = Conforme (no encontrado O versión >= mínima)
• 1 = No conforme (encontrado con una versión inferior)

2) Corrección: Remediate-AdobeAcrobat.ps1

Propósito: Eliminar las instalaciones de Adobe Acrobat encontradas en el dispositivo (Reader/Pro/Standard).

Comportamiento:

• Busca entradas Adobe Acrobat* en ambas ramas del registro de desinstalación
• Extrae el GUID del producto MSI mediante:
  • Expresión regular de UninstallString / QuietUninstallString (preferida)
  • alternativa: nombre de la clave del registro
• Ejecuta:
  • msiexec /x {GUID} /q /norestart
• Trata 3010 (reinicio requerido) como éxito

Códigos de salida:

• 0 = Corrección completada correctamente
• 1 = Corrección completada con errores

Nota: Esta corrección elimina Acrobat. Asegúrese de implementar también la versión parcheada (o la versión compatible preferida) mediante su proceso estándar de implementación de aplicaciones de Intune.

---

B) Scripts de mitigación inmediata (Deshabilitar JavaScript)

Deshabilitar JavaScript en Acrobat/Reader puede reducir la exposición a archivos PDF maliciosos que dependen de la ejecución de JavaScript. Esto está pensado como una medida de reducción rápida de riesgos mientras se implementa el parche.

1) Detección: DetectionJavaScript.ps1

Propósito: Verificar que JavaScript esté deshabilitado tanto para Adobe Reader DC como para Adobe Acrobat DC.

Claves de registro comprobadas:

• HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown\bDisableJavaScript
• HKLM\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\bDisableJavaScript

Valor esperado:

• bDisableJavaScript = 1

Códigos de salida:

• 0 = Conforme (ambas claves existen y están establecidas en 1)
• 1 = No conforme (clave faltante y/o no establecida en 1)

2) Corrección: RemediateJavaScript.ps1

Propósito: Aplicar la deshabilitación de JavaScript tanto para Reader como para Acrobat DC estableciendo valores de registro de directiva.

Comportamiento:

• Crea las rutas de registro si faltan
• Establece:
  • bDisableJavaScript (DWORD) = 1
• Sale con 1 ante cualquier error; de lo contrario 0

---

Configuración recomendada de Intune

Opción 1 (Recomendada): Usar AMBAS correcciones

1. Paquete de mitigación: Deshabilitar JavaScript (reducción rápida de la superficie de ataque)
2. Paquete de aplicación de parches: Aplicación de versión (elimina instalaciones heredadas/vulnerables)

Este enfoque proporciona un endurecimiento inmediato mientras garantiza que la versión parcheada se implemente en todas partes.

Consejos de configuración

• Ejecute los scripts como Sistema (recomendado).
• Comience con una frecuencia mayor durante la respuesta a incidentes (p. ej., cada 1–4 horas) y luego redúzcala.

---

Notas operativas / impacto

Deshabilitar JavaScript puede afectar la funcionalidad

Algunos PDF o flujos de trabajo empresariales (formularios, contenido dinámico, scripts incrustados) pueden depender de JavaScript. Valide con grupos de usuarios clave antes de una implementación amplia.

La corrección de desinstalación requiere GUID de MSI

Si Acrobat se instaló mediante métodos que no son MSI, la eliminación basada en GUID puede fallar y requerir una estrategia de desinstalación diferente.

---

Referencias

• Boletín de seguridad de Adobe: APSB26‑43 – Actualización de Acrobat/Reader que corrige CVE‑2026‑34621 (parcheado en 26.001.21411) 1

---

Licencia

Este proyecto está licenciado bajo la Licencia MIT: siéntase libre de usarlo, modificarlo y distribuirlo.

Descargo de responsabilidad
Este repositorio contiene scripts genéricos de mejores prácticas públicas. No está afiliado con ningún empleador o cliente actual o pasado. Creado únicamente con fines educativos y comunitarios.