Op 28 april werden twee ernstige beveiligingslekken in Adobe Reader en Acrobat ontdekt, maar het advies dat Adobe geeft in afwachting op een update is geen goede oplossing, aldus een security officer. De ontwikkelaar is van plan om op 12 mei een update uit te brengen, in de tussentijd moeten gebruikers JavaScript uitschakelen. Dit zorgt er echter voor dat gebruikers een dialoogvenster te zien krijgen waarin staat dat het document JavaScript bevat en het uitschakelen hiervan voor problemen kan zorgen. Het venster vraagt vervolgens of de gebruiker JavaScript weer wil inschakelen.

"Dit werkt niet, het schakelt JavaScript niet uit. Het toont de gebruiker alleen een vaag dialoogvenster waarin staat dat ze iets niet kunnen zien omdat JavaScript is uitgeschakeld. Raad eens? De meeste gebruikers staan JavaScript toe!", aldus een ontstemde Eric Cabetas. Hij is bang dat binnen bedrijven het meeste personeel gewoon "Ja" kiest, omdat ze in het geval van security waarschuwingen geleerd is dat te doen.

Leer van Microsoft
Volgens Randy Abrams van virusbestrijder ESET, kan Adobe niet van het verleden leren of het zich herinneren. "De toevoeging van JavaScript aan Acrobat vergroot het aanvalsoppervlak van Acrobat documenten. Microsoft heeft de kracht van macro's al vele jaren geleden geleerd en ze toen in Word uitgeschakeld, tenzij de gebruiker die bewust inschakelt. Adobe aan de andere kant schakelt JavaScript in, wat net zo krachtig als macro's is, en waarschuwt de gebruiker niet voor het verhoogde risico waaraan die is blootgesteld."

Ook in het geval van Autorun, heeft Microsoft zijn lesje geleerd en zal het deze aanvalsvector in Windows 7 uitschakelen. "Terwijl Microsoft de beveiliging verbetert, moddert Adobe voort en leert het niet de lessen van macro virussen. Acrobat was ooit een veilig alternatief voor Word. Vandaag de dag is dat helemaal niet meer het geval."