「アドビはセキュリティを優先課題に」：F-Secure、Acrobat Readerの脆弱性で警告

　「Adobe Acrobat Reader」の脆弱性を突くインターネット攻撃が頻発していることを考えると、ユーザーは別のPDFリーダーに乗り換えるべきだ。セキュリティ専門家が米国時間4月21日、RSA Conference 2009でこう述べた。

　セキュリティ企業F-Secureで最高調査責任者を務めるMikko Hypponen氏はジャーナリストとの会見で、2009年になってから発生したターゲット攻撃のうち、47％以上がAcrobat Readerのセキュリティホールを突くものだったと述べた。また、同氏によると、これまでに、Acrobat Readerが対象の脆弱性が6件発見されているという。

　Adobeは2月にFlashプレーヤーの重大な脆弱性を修復するパッチをリリースした後、3月にも攻撃者が何カ月にも渡って悪用してきたAcrobat Readerのセキュリティホールを塞ぐ修正をリリースした。

　2008年に攻撃者が好んで標的にしていたのはMicrosoft Wordで、同プログラムには15件の既知の脆弱性（Acrobat Readerは19件）があった、とHypponen氏は述べた。同氏によると、この期間のすべての攻撃のうち、34.5％がWordを標的にしたものだったという（Acrobat Readerは28.6％）。

　最上級幹部や防衛関係の請負業者など、企業や政府の機密情報へのアクセスを認められている人々は、攻撃者が悪意あるコードを埋め込んだファイルを送信するターゲット攻撃の被害に遭う可能性がある。そのファイルを開いてしまうと、コンピュータは多くの場合、データを盗み出すバックドアプログラムに感染する。

　PDFやFlashのブラウザプラグインも、「ドライブバイダウンロード」と呼ばれる攻撃に利用されている。これは、ユーザーがネットサーフィンをしている間に、マルウェアがコンピュータにこっそりとダウンロードされる攻撃手法だ。Hypponen氏によると、攻撃に利用されるPDFファイルの数は、2008年の1月1日から4月16日まで間の128個と比べ、2009年の同期間には2300個以上に増えたという。

　Adobeはセキュリティを優先課題にするべきだ、とHypponen氏は話す。

　Adobeは「ほかでもないMicrosoftから多くのことを学ぶ必要がある」とHypponen氏は述べた。Microsoftは「Patch Tuesday」の一環として、セキュリティパッチを毎月定期的に提供している。

　Hypponen氏によると、人々がAcrobat Readerのアップグレードには必ずしもMicrosoftのソフトウェアのように重要なセキュリティパッチが含まれているわけではない、と考えていることにも問題の一端があるという。

　Hypponen氏は、代替となるPDFリーダーの名前は挙げなかったが、PDFReaders.orgのウェブサイトにAcrobat Readerの代替製品の一覧が掲載されていると述べた。