来自德国波鸿鲁尔大学（Ruhr-Universität Bochum）的研究人员于本周指出，PDF规格含有两个重大的安全漏洞，将允许黑客偷偷篡改已有认证签章（Certification Signatures）的文件内容，而且在所调查的26款PDF应用程序中，有24款至少含有其中一项漏洞。
研究人员说明，在PDF的规格中，定义了两种形态的数字签名，一是批准签章（Approval Signatures），用来证明特定的文件状态，一份文件可有不同的签章，但文件上任何的变更都会造成签章无效或出现警告；另一个是认证签章（Certification Signatures），提供更弹性的数字签名文件，它虽然只能有一个认证签章，但允许文件所有人列出可变更的文件项目，例如填写特定字段、替文件下注解，或者是添加批准签章。
这使得研究人员对认证签章的安全性产生兴趣，并针对已认证文件的变更功能展开系统性分析，发现了该规格含有两个安全漏洞，包括邪恶注解攻击（Evil Annotation Attack，EAA）漏洞与鬼祟签章攻击（Sneaky Signature Attack，SSA）。
不管是EAA漏洞或是SSA漏洞都能够变更已认证文件中的内容呈现，同时保留认证签章的有效性，还不招来任何的警告，且在所测试的26款PDF应用程序中，有24款至少含有其中一种漏洞。
此外，研究人员也分析这26款程序在允许注解与签章的实现上，是否符合PDF规格，也发现有11款不符规定。
另一方面，Adobe还含有一个额外的漏洞，允许黑客于已认证的文件中执行JavaScript程序代码，带来程序代码注入攻击的风险。
目前已知Adobe、Foxit与LibreOffice皆已修补了相关漏洞，而研究人员也正与全球标准组织合作发展新一代的PDF规格，以解决现有规格的缺陷。