A extensão Adobe Acrobat para Chrome, presente em cerca de 329 milhões de navegadores, apresentava uma vulnerabilidade que permitia a sites maliciosos acessarem conversas e dados do WhatsApp Web sem qualquer autenticação, conforme revelou ontem a empresa de segurança Guardio.
A falha, registrada como CVE-2026-48294 (CVSS de 7.5), foi descoberta pela equipe de pesquisa da Guardio e apelidada de HermeticReader. O vetor de ataque exige apenas que o usuário, com a extensão instalada, seja atraído a uma página web controlada pelo invasor.
A vulnerabilidade reside na capacidade da extensão de permitir que qualquer site disfarce comandos maliciosos como mensagens internas da extensão. O atacante pode ativar a integração com o WhatsApp e redirecionar operações privilegiadas para uma aba do WhatsApp Web, usando um ID de aba previsível. O pesquisador principal da Guardio Labs, Nati Tal, explicou que a exploração permite uma “escrita não autenticada, de visita única e sem clique” no armazenamento interno da extensão, a partir de qualquer página.
Impacto da vulnerabilidade
Com o controle do DOM (Document Object Model) do WhatsApp Web, um invasor pode injetar um formulário na página, mover seu conteúdo para um elemento <option> e submeter os dados a um servidor controlado. Como a política de segurança de conteúdo do WhatsApp Web não restringia envios de formulário, o navegador enviava o texto renderizado da página, expondo a lista de conversas, nomes de contatos, mensagens e o conteúdo das conversas. Tal observou que a falha foi corrigida pela Adobe em até dois dias após o relato, durante um final de semana. Não há indicação de exploração ativa da CVE-2026-48294.
A Adobe publicou a correção na versão 26.5.2.3 da extensão, disponibilizada automaticamente para os usuários. A empresa, que geralmente não publica boletins de segurança para produtos de consumo, reconheceu a falha.
