Intune プロアクティブ修復 – Adobe Acrobat/Reader バージョン強制 (CVE-2026-34621)

このリポジトリには、Adobe Acrobat/Reader の脆弱性への曝露を低減するための Microsoft Intune プロアクティブ修復 スクリプトが含まれています。以下の方法で対応します:

1. 最小パッチ適用バージョンの強制 (古いビルドを検出して削除)。
2. 攻撃対象領域の即時低減 – ポリシーレジストリキーによる Acrobat/Reader の JavaScript 無効化。

これらの制御は併用できます:

• 短期的な緩和策: JavaScript を無効化してリスクを即座に低減。
• 長期的な修正: パッチ適用済みバージョンを強制 (およびレガシーインストールを削除)。

---

このリポジトリが存在する理由 (セキュリティ上の背景)

Adobe は Acrobat および Reader 向けのセキュリティアップデートをリリースし、CVE‑2026‑34621 に対処しました。Adobe はこの脆弱性が 実環境で悪用されている ことを確認しており、任意のコード実行 につながる可能性があります。Acrobat/Reader DC Continuous トラックの修正版は 26.001.21411 です。1

管理環境では、最新のインストーラーが利用可能であるだけでは不十分です。デバイスが古いビルドを実行している可能性があります。このリポジトリは、脆弱なバージョンがインストールされたままにならないようにし、追加の緩和策 (JavaScript の無効化) を有効にして曝露を即座に低減するのに役立ちます。

---

内容

A) バージョン強制 (古いバージョンの検出 / レガシーの削除)

• Detect-AdobeAcrobat.ps1
• Remediate-AdobeAcrobat.ps1

B) 即時緩和策 (Acrobat/Reader DC で JavaScript を無効化)

• DetectionJavaScript.ps1
• RemediateJavaScript.ps1

---

A) バージョン強制スクリプト

1) 検出: Detect-AdobeAcrobat.ps1

目的: 定義された最小バージョン未満の Adobe Acrobat インストールを検出します。

動作:

• 両方のアンインストールレジストリハイブ (64ビットおよび32ビット) を確認:
  • HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
  • HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall
• DisplayName が Adobe Acrobat* に一致する製品を照合
• DisplayVersion を以下と比較:
  • 最小バージョン: 26.001.21411 (CVE‑2026‑34621 のパッチ適用済みビルド) 1

終了コード:

• 0 = 準拠 (未検出 または バージョン >= 最小値)
• 1 = 非準拠 (より低いバージョンが検出された)

2) 修復: Remediate-AdobeAcrobat.ps1

目的: デバイス上で見つかった Adobe Acrobat インストール (Reader/Pro/Standard) を削除します。

動作:

• 両方のアンインストールレジストリハイブで Adobe Acrobat* エントリを検索
• MSI 製品 GUID を以下から抽出:
  • UninstallString / QuietUninstallString の正規表現 (推奨)
  • フォールバック: レジストリキー名
• 以下を実行:
  • msiexec /x {GUID} /q /norestart
• 3010 (再起動が必要) を成功として扱う

終了コード:

• 0 = 修復が正常に完了
• 1 = 修復がエラー付きで完了

注: この修復は Acrobat を削除します。標準の Intune アプリケーション展開プロセスを通じて、パッチ適用済みバージョン (または推奨されるサポート対象バージョン) も必ず展開してください。

---

B) 即時緩和スクリプト (JavaScript の無効化)

Acrobat/Reader の JavaScript を無効化すると、JavaScript の実行に依存する悪意のある PDF ペイロードへの曝露を低減できます。 これは、パッチ適用が展開されている間の 迅速なリスク低減 手段として意図されています。

1) 検出: DetectionJavaScript.ps1

目的: Adobe Reader DC と Adobe Acrobat DC の両方で JavaScript が無効化されていることを確認します。

確認するレジストリキー:

• HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown\bDisableJavaScript
• HKLM\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\bDisableJavaScript

期待値:

• bDisableJavaScript = 1

終了コード:

• 0 = 準拠 (両方のキーが存在し、1 に設定されている)
• 1 = 非準拠 (キーが欠落している、および/または 1 に設定されていない)

2) 修復: RemediateJavaScript.ps1

目的: ポリシーレジストリ値を設定して、Reader と Acrobat DC の両方で JavaScript の無効化を強制します。

動作:

• レジストリパスが存在しない場合は作成
• 以下を設定:
  • bDisableJavaScript (DWORD) = 1
• エラー時は 1 で終了。それ以外は 0。

---

推奨される Intune セットアップ

オプション 1 (推奨): 両方の修復を使用

1. 緩和パッケージ: JavaScript の無効化 (攻撃対象領域の迅速な低減)
2. パッチ強制パッケージ: バージョン強制 (レガシー/脆弱なインストールの削除)

このアプローチにより、パッチ適用済みバージョンがすべての場所に展開されていることを確認しながら、即時の堅牢化が実現します。

構成のヒント

• スクリプトは System として実行 (推奨)。
• インシデント対応中は高い頻度 (例: 1〜4時間ごと) から開始し、その後減らします。

---

運用上の注意 / 影響

JavaScript の無効化は機能に影響を与える可能性があります

一部の PDF やエンタープライズワークフロー (フォーム、動的コンテンツ、埋め込みスクリプト) は JavaScript に依存する場合があります。広範な展開前に主要なユーザーグループで検証してください。

アンインストール修復には MSI GUID が必要です

Acrobat が MSI 以外の方法でインストールされた場合、GUID ベースの削除は失敗する可能性があり、別のアンインストール戦略が必要になる場合があります。

---

参照

• Adobe セキュリティ速報: APSB26‑43 – CVE‑2026‑34621 を修正する Acrobat/Reader アップデート (26.001.21411 でパッチ適用) 1

---

ライセンス

このプロジェクトは MIT ライセンス の下でライセンスされています。自由に使用、変更、配布してください。

免責事項
このリポジトリには、一般的な公開ベストプラクティススクリプトが含まれています。現在または過去の雇用主やクライアントとは一切関係ありません。教育およびコミュニティ目的のみで作成されています。