Přesně 18 nástrojů, žádný navíc, žádný nechybí

Oficiální web RevPDF uvádí:

• Editace obsahu (text i obrázky)
• Začernění a automatická redakce citlivých údajů
• Anotace
• Kreslení a značení
• Tvorba formulářů
• Vyplňování formulářů
• Elektronický podpis
• Komprese
• Rozdělení a sloučení PDF
• Vodoznak
• Konverze (PDF → Word a další formáty)
• Organizace stránek
• OCR (rozpoznávání textu ze skenů)
• Hledání a nahrazování textu
• Prohlížeč s kartami
• Editor metadat
• Odkazy a záložky
• Skenování dokumentů

Na desktopu jsou všechny dostupné okamžitě po instalaci. Žádné zkušební období, žádné odemykání po registraci. Instalátor pro Windows má přibližně 15 MB, tedy méně než průměrná fotografie z moderního mobilu.

Co přesně znamená „vaše data nikam neposílá“

Editace, slučování, komprese, konverze i OCR běží výhradně lokálně. Autor na blogu popisuje takzvaný „test v letadle“: odpojíte internet, otevřete PDF, upravíte ho, uložíte a vše funguje dál offline. Žádná licenční kontrola, žádné ověřování připojení.

Existují dvě drobné výjimky, obě ale vyžadují váš výslovný souhlas. Na Windows a Linuxu si aplikace při prvním použití OCR stáhne jazykový model eng.traineddata z GitHubu. A pokud PDF obsahuje písmo, které ve vašem systému chybí, RevPDF nabídne jeho stažení. V obou případech se přenášejí jen doplňkové soubory, nikoli obsah dokumentu. Zásady ochrany soukromí to potvrzují.

Důležitá poznámka k důvěře: RevPDF není open source. Apple v App Storu uvádí, že informace o ochraně soukromí poskytuje vývojář a Apple je neověřuje. Jde tedy o důvěru v deklaraci autora, nikoli o veřejně auditovaný kód. Na druhou stranu jsou desktopové buildy veřejně dostupné přes GitHub releases i s kontrolními součty SHA-256, takže si můžete alespoň ověřit integritu staženého souboru.

Kde končí RevPDF a začíná Adobe Acrobat

Překryv s Acrobatem je u běžných úloh překvapivě velký. Editace textu a obrázků, skutečné začernění (ne jen černý obdélník přes text, ale fyzické odstranění dat z PDF), OCR, formuláře, podpis, komprese, slučování, konverze do Wordu, metadata i záložky – to všechno RevPDF zvládá.

Adobe si ale drží náskok tam, kde začínají pokročilé firemní pracovní postupy:

• Porovnávání verzí dokumentů – RevPDF tuto funkci nemá.
• Sběr a sledování podpisů – Adobe Sign je samostatný ekosystém elektronických podpisů.
• Webové formuláře a týmová spolupráce – cloudové funkce, které offline nástroj z principu nenabídne.
• AI Assistant – Adobe integruje umělou inteligenci přímo do Acrobatu.
• Pokročilé digitální podpisy, 3D PDF a pluginy – sám autor RevPDF tyto limity veřejně přiznává.

Podle nás je verdikt jasný: pokud nepotřebujete porovnávat verze smluv v týmu deseti lidí nebo sbírat podpisy přes webový formulář, RevPDF pokrývá většinu funkcí, za které jednotlivci platí Adobe měsíční předplatné. A pokrývá je zdarma.

Mobil je jiný příběh, a to je potřeba vědět

Na desktopu je model jednoduchý. Na mobilech už ne tak docela. Google Play i App Store vedou RevPDF jako bezplatnou aplikaci s reklamami a nákupy v aplikaci. Právní podmínky potvrzují bannerové reklamy pro uživatele bez prémiové verze. Jednorázový upgrade RevPDF Premium stojí v App Storu 250 Kč a reklamy odstraňuje. Přesný seznam funkcí, které Premium na mobilu odemyká oproti bezplatné verzi, vývojář veřejně nerozepisuje.

Ještě jeden praktický detail: rozhraní aplikace je v angličtině, a to i v českém App Storu. OCR model dodávaný ve výchozím stavu je anglický. U textových PDF s existující českou textovou vrstvou by editace, hledání i začerňování měly fungovat bez problémů, protože nástroj pracuje přímo s textem v dokumentu. U skenovaných českých dokumentů ale veřejně doložená podpora češtiny pro OCR zatím chybí.

Jak si RevPDF stojí vedle jiných bezplatných alternativ

PDF24 Creator je na Windows vyspělý a silný bezplatný balík, který rovněž pracuje offline. Jeho vlastní dokumentace ale přiznává, že neumí editovat obsah stránky – zvládá hlavně operace na úrovni stránek, jako je slučování, extrakce nebo mazání. LibreOffice Draw umí obsah PDF upravovat, jenže jde o obecný kreslicí nástroj, nikoli o specializovaný editor PDF s funkcemi pro redakci, OCR nebo formuláře. RevPDF má oproti oběma výhodu v přímé editaci obsahu PDF a v tom, že běží nativně na Windows, macOS i Linuxu.

Pro stažení na Windows doporučuje sám autor využít Microsoft Store jako nejbezpečnější variantu. Přímý instalační soubor .exe z webu není digitálně podepsaný a Windows SmartScreen na něj může upozornit. Na Linuxu počítejte s požadavkem na glibc 2.35+ a GTK 3.

Projekt stojí na jednom vývojáři a jeho veřejná historie zatím čítá měsíce, nikoli roky. První verze se v App Storu objevila v březnu 2026, od té doby ale vyšlo pět velkých aktualizací. Kdo chce mít jistotu do budoucna, udělá dobře, když si stáhne desktopový instalátor. Offline architektura znamená, že už nainstalovaná verze poběží dál, i kdyby autor zítra svůj web vypnul.

Co se stane, když otevřete špatné PDF

Řetězec útoku je elegantně jednoduchý, a právě proto nebezpečný. Stačí otevřít podvržený dokument v Adobe Acrobat Readeru. Žádné makro, žádný další klik, žádné potvrzovací okno.

Po otevření se spustí podvodný JavaScript, který zneužije chybu označenou jako CVE-2026-34621, jde o takzvanou prototype pollution (CWE-1321), tedy nesprávně kontrolovanou modifikaci prototypových atributů objektů. Exploit díky ní získá přístup k privilegovaným Acrobat API, která by za normálních okolností JavaScript v PDF volat nemohl. Konkrétně:

• Přečte jazyk systému, verzi Readeru, přesnou verzi operačního systému a lokální cestu k otevřenému souboru.
• Přes funkci „util.readFileIntoStream()“ dokáže číst i další lokální soubory dostupné procesu Readeru.
• Přes „RSS.addFeed()“, legitimní součást Acrobat SDK, odešle sebraný profil na vzdálený server.
• Server může v odpovědi vrátit další JavaScript, který se skutečně spustí. Li to ve vlastním testu ověřil.

Jde o klasický otisk zařízení: útočník nejdřív zjistí, koho napadl, a teprve pak rozhodne, jestli doručí druhou fázi, potenciálně vzdálené spuštění kódu nebo únik ze sandboxu.

Čtyři měsíce ve tmě

Časová osa ukazuje, jak dlouho měli útočníci volné pole:

• 28. listopadu 2025 – na VirusTotal se objevuje starší varianta exploitu. Nejstarší veřejně dohledatelná stopa kampaně.
• 23. března 2026 – na VirusTotal přibývá novější vzorek.
• 26. března 2026 – vzorek je nahrán do systému EXPMON, který ho automaticky označí jako podezřelý.
• 7. dubna 2026 – Haifei Li publikuje první veřejnou analýzu, den poté doplňuje nález starší varianty z listopadu.
• 11. dubna 2026 – Adobe vydává bezpečnostní aktualizaci APSB26-43.
• 13. dubna 2026 – americká agentura CISA zařazuje chybu do katalogu aktivně zneužívaných zranitelností (KEV) s termínem nápravy do 27. dubna.

Zajímavý detail: Adobe den po vydání záplaty zpětně opravil hodnocení závažnosti. Původní CVSS skóre 9,6 snížil na 8,6, přehodnotil vektor útoku z „Network“ na „Local“, protože exploit vyžaduje, aby uživatel soubor skutečně otevřel. I tak jde o kritickou závažnost.

Proč je to horší, než vypadá

Technicky existují nebezpečnější zranitelnosti, takové, které nevyžadují žádnou interakci. Jenže CVE-2026-34621 útočí přes formát, kterému firmy důvěřují ze své podstaty. Faktury, dodací listy, celní dokumenty, smlouvy, objednávky, PDF je lingua franca obchodní komunikace. Účetní oddělení, logistika, procurement, zákaznická podpora: všude se denně otevírají desítky externích PDF, často od neznámých odesílatelů.

Pro srovnání: lednová zero-day v Microsoft Office (CVE-2026-21509) měla v únorovém bezpečnostním updatu nižší závažnost a nebyla zařazena do CISA KEV. Obě chyby jsou silné pro cílený kybernetický podvod přes dokument, ale u Adobe varianty je potvrzené reálné zneužívání a delší okno exploatace.

Veřejně potvrzené české případy jsme v materiálech NÚKIB, ani v čtvrtletním přehledu hrozeb za Q1 2026, nedohledali. To ale neznamená, že se kampaň českým firmám vyhnula. Znamená to jen, že veřejné potvrzení chybí.

Co udělat hned

Záplata existuje od 11. dubna 2026. Opravené buildy jsou 26.001.21411 pro Continuous track a 24.001.30362 / 24.001.30360 pro Acrobat 2024. Následný update 26.001.21431 z 14. dubna přidává další opravy, nejlepší je aktualizovat na nejnovější dostupnou verzi přes „Nápověda > Zkontrolovat aktualizace“.

Pokud jste v posledních měsících otevírali neočekávaná PDF v Adobe Readeru, stojí za to zkontrolovat víc než jen verzi softwaru:

• Prověřte odchozí síťová spojení na IP adresy „169.40.2.68:45191“ a „188.214.34.20:34123“, které Li identifikoval jako C2 servery.
• V proxy logách hledejte HTTP/HTTPS provoz s user-agentem „Adobe Synchronizer“.
• Podezřelé soubory nemazejte, uchovejte kopii pro případnou forenzní analýzu.
• Alternativní PDF prohlížeče (Foxit, vestavěné prohlížeče v Chrome nebo Edge) nejsou na tuto konkrétní CVE veřejně potvrzeny jako zranitelné. Pro nevyžádané přílohy mohou být rozumnou první volbou.

Spoléhat na antivir nestačí. V době odhalení měl škodlivý vzorek detekci pod 8 %. Nejúčinnější obrana je ta nejbanálnější: neotevírat neočekávaná PDF na neaktualizované stanici.