La falla di Adobe Acrobat per Chrome espone i dati di WhatsApp Web

Adobe ha corretto CVE-2026-48294, una catena di vulnerabilità nella propria estensione Acrobat per Chrome che consentiva a un sito malevolo di leggere in silenzio i dati di una scheda WhatsApp Web aperta. Guardio Labs ha descritto l’attacco con il nome HermeticReader e ha mostrato che l’attaccante non aveva bisogno di malware installato, credenziali rubate o cookie di sessione: bastava convincere l’utente a visitare una pagina controllata dall’attaccante. La catena permetteva di esfiltrare chat, contatti, nome profilo e anteprime dei messaggi in chiaro. Il fatto che l’estensione sia installata su centinaia di milioni di browser rende la portata del problema molto ampia, anche se la falla è stata già patchata. Il caso dimostra che le estensioni di browser, quando hanno privilegi elevati e canali interni poco protetti, possono trasformarsi in un punto di compromissione molto più pericoloso di quanto sembri. Per gli utenti, la lezione è che visitare una semplice pagina può essere sufficiente a compromettere dati sensibili di applicazioni web già aperte.

Sources

• Adobe Acrobat Chrome extension bug enabled silent WhatsApp data theft — Security Affairs
• Adobe Acrobat Extension Flaw Let Malicious Sites Read WhatsApp Web Data — The Hacker News