Una vulnerabilità individuata nell’estensione Adobe Acrobat per Google Chrome avrebbe potuto consentire a un sito web malevolo di accedere alle conversazioni visualizzate su WhatsApp Web, senza richiedere alcuna autenticazione. Il problema, scoperto dai ricercatori di Guardio Labs, è stato corretto rapidamente da Adobe, che ha già distribuito un aggiornamento automatico agli utenti interessati.
Come funzionava la vulnerabilità HermeticReader
La catena di vulnerabilità, identificata con il codice CVE-2026-48294 e soprannominata HermeticReader, sfruttava un difetto nell’estensione Adobe Acrobat per Chrome.
Per portare a termine l’attacco era sufficiente che la vittima, con l’estensione installata, visitasse una singola pagina web controllata da un attaccante. Da quel momento il sito poteva inviare comandi all’estensione facendoli apparire come messaggi interni legittimi.
Secondo Guardio Labs, il problema nasceva dal fatto che una risorsa HTML interna dell’estensione poteva essere incorporata come iframe da qualsiasi sito web. Inoltre, i parametri ricevuti venivano inoltrati al service worker dell’estensione senza verificare che provenissero realmente dai componenti ufficiali di Adobe.
In questo modo gli aggressori potevano attivare l’integrazione con WhatsApp Web e sfruttare il motore Hermes, il componente utilizzato dall’estensione Acrobat per gestire le interazioni con il servizio di messaggistica.
Quali dati di WhatsApp potevano essere sottratti
Una volta ottenuto il controllo delle operazioni sul DOM di WhatsApp Web, gli attaccanti potevano manipolare la pagina e inviarne il contenuto a un server sotto il proprio controllo.
Per dimostrare la vulnerabilità, i ricercatori hanno inserito un modulo all’interno della pagina di WhatsApp Web, spostando il contenuto visibile in un elemento HTML che veniva successivamente inviato all’esterno.
Tra le informazioni che potevano essere esposte figuravano:
- l’elenco delle chat;
- i nomi dei contatti;
- i messaggi visualizzati;
- il nome del profilo;
- il contenuto delle conversazioni caricate nella pagina.
L’attacco non richiedeva il furto dei cookie di sessione, ma poteva accedere esclusivamente ai messaggi già caricati e renderizzati da WhatsApp Web. Le conversazioni non ancora aperte o non presenti nella pagina non risultavano invece esposte.
Possibile anche il furto dell’account WhatsApp
Guardio Labs ha descritto anche un secondo possibile scenario di attacco.
Sfruttando la stessa capacità di controllare il DOM di WhatsApp Web, un aggressore avrebbe potuto sostituire il codice QR utilizzato per collegare nuovi dispositivi all’account.
Se la vittima avesse successivamente scansionato il QR alterato, avrebbe potuto collegare il proprio account al dispositivo dell’attaccante, consentendone di fatto il controllo. I ricercatori sottolineano però che questo scenario richiede un’interazione aggiuntiva da parte dell’utente, rendendolo meno immediato rispetto al furto delle informazioni visualizzate.
Adobe ha già corretto il problema
Le vulnerabilità interessavano Adobe Acrobat per Chrome fino alla versione 26.5.2.1.
Adobe ha corretto il problema con la versione 26.5.2.3, distribuita automaticamente agli utenti. Nonostante ciò, viene raccomandato di verificare che l’estensione installata sia effettivamente aggiornata all’ultima versione disponibile.
Secondo il ricercatore principale di Guardio Labs, Nati Tal, non sono emerse prove di uno sfruttamento attivo della vulnerabilità. Il team di ricerca ha individuato il difetto appena quattro ore dopo la sua introduzione tramite un aggiornamento dell’estensione.
Come riporta Bleeping Computer, Adobe ha reagito rapidamente alla segnalazione, pubblicando una correzione nel giro di due giorni, durante il fine settimana. Guardio Labs ha elogiato la tempestività dell’intervento, sottolineando l’importanza della risposta considerando che l’estensione è installata su circa 329 milioni di browser. L’azienda ha inoltre confermato l’esistenza della vulnerabilità, pur precisando che normalmente non pubblica bollettini di sicurezza dedicati ai prodotti consumer.
