Het pdf-formaat is weer onder vuur komen te liggen. De Belgische onderzoeker Didier Stevens heeft een expoit voor het pdf-formaat uit de doeken gedaan; met deze exploit kan bij het openen van een pdf-bestand automatisch een executable worden uitgevoerd.Stevens geeft niet alle details vrij, maar claimt dat het alleen standaardfunctionaliteit van het pdf-formaat gebruikt.
Het is een bekend gegeven dat het toegestaan is bestanden (en dus ook executables) te embedden in een pdf-bestand, maar Adobe heeft het uitvoeren van executables uitgeschakeld. Volgens Stevens is het omzeilen van deze beveiliging wel degelijk mogelijk, waardoor een embedded executable gewoon uit te voeren is.
Interessant is dat de gebruiker normaliter een waarschuwing te zien krijgt met daarin de gegevens van het bestand. Stevens heeft deze informatie weten te vervangen door de boodschap dat de gebruiker juist op 'open' moet klikken. Stevens waarschuwt extra voor de Foxit Reader, die de waarschuwing niet eens weergeeft.
Op het blog van Didier Stevens is een proof-of-concept te vinden, die de commandoprompt van Windows opstart. Adobe is op de hoogte van het lek.