Pesquisadores de cibersegurança revelaram os detalhes de uma cadeia de vulnerabilidades já corrigida na extensão Adobe Acrobat para Chrome, que soma mais de 314 milhões de usuários e, se explorada, poderia permitir o sequestro silencioso de dados do WhatsApp de uma vítima.
A falha recebeu o codinome HermeticReader, atribuído pela Guardio Labs, e é identificada oficialmente como
CVE-2026-48294
, com pontuação CVSS de 7,4. O problema foi descrito como uma vulnerabilidade de divulgação de dados entre origens, da classe universal cross-site scripting, ou UXSS.
A extensão Adobe Acrobat para Chrome podia ser usada para acessar conversas e dados renderizados no WhatsApp Web sem qualquer forma de autenticação. O ataque explora uma cadeia de vulnerabilidades que afeta todas as versões da extensão, identificada pelo ID efaidnbmnnnibpcajpcglclefindmkaj, anteriores e incluindo a 26.5.2.2.
Para explorá-la, basta que o alvo, com a extensão Adobe Acrobat em execução, seja induzido a visitar uma URL maliciosamente criada ou a interagir com uma página comprometida que acione o caminho vulnerável do código da extensão. Em outras palavras, a vítima precisa apenas visitar a página preparada para o ataque.
O problema surge porque a extensão da Adobe permite que qualquer site disfarce comandos do atacante como mensagens internas da extensão, ative sua integração com o WhatsApp e redirecione suas operações privilegiadas de DOM para uma aba do WhatsApp com um Tab ID previsível. Ao fornecer esse ID à extensão, o atacante podia direcionar comandos à aba do WhatsApp Web para o mecanismo Hermes, que atua como intermediário entre o Acrobat e o WhatsApp.
Hermes é o mecanismo de integração que a extensão Adobe Acrobat para Chrome usa para lidar com suas interações com o WhatsApp Web. Ele permanece inativo até que uma flag de recurso específica seja ativada no armazenamento interno da extensão, no caso, “floodgate-add”. Depois de ativado, o Hermes pode receber solicitações da integração, abrir um arquivo PDF compartilhado pelo WhatsApp e enviar respostas de volta. Ele também pode ser usado para enviar comandos diretamente a uma aba que executa o serviço de mensagens por meio de um script capaz de manipular o Document Object Model, ou DOM, do WhatsApp.
Em relatório compartilhado com o BleepingComputer, a Guardio afirma que o HermeticReader explora três vulnerabilidades que permitem “uma escrita sem autenticação, de visita única e sem clique, no próprio armazenamento da extensão a partir de qualquer página da web”.
“A extensão tem um recurso HTML interno que faz parte da própria extensão, mas permite que QUALQUER página o inclua como um iframe”, explicou a Guardio Labs. “A forma como essa página HTML interna recebe comandos é por meio de um parâmetro de URL que depois é processado e enviado ao service worker, que é o backend da extensão com todas as permissões exploradas, sem verificar se a solicitação veio de um script de conteúdo real da Adobe ou de qualquer outra página”, disseram os pesquisadores ao BleepingComputer.
A sequência completa de ações começa com uma página controlada pelo atacante que chama um elemento iframe carregado a partir dos recursos da extensão. Esse iframe envia comandos para alterar configurações e ativar o mecanismo Hermes, que lida com a integração do WhatsApp na extensão somente se o sinalizador específico estiver habilitado. Em seguida, a página do atacante abre o WhatsApp Web em uma guia do navegador em segundo plano e o iframe envia comandos diretamente ao mecanismo, apontando para a guia do WhatsApp depois de obter o identificador numérico dela.
A Guardio demonstrou o roubo de dados ao injetar um formulário no WhatsApp Web, mover o corpo ativo da página para um elemento `<option>` e enviar o formulário a um servidor sob controle do atacante. Como um `<option>` sem valor definido envia seu conteúdo textual e a política de segurança de conteúdo, ou CSP, do WhatsApp aparentemente não tinha restrição de form-action, o navegador enviou o texto da página renderizada ao atacante, permitindo acesso a dados de mensagens, incluindo lista de conversas, nomes dos contatos, mensagens, nome do perfil, conteúdo das conversas e prévias das mensagens.
“Por que o envio de um formulário tira o texto das conversas da origem do WhatsApp? Por causa de dois mecanismos previstos na especificação HTML: um elemento option sem atributo value envia seu conteúdo de texto, e o texto de um nó é a concatenação de tudo o que é renderizado abaixo dele”, explicou o pesquisador da Guardio Labs Shaked Biner. “Coloque o corpo ativo ali dentro, e o valor enviado pela option se torna o texto completo da página renderizada.”
“O segundo mecanismo é que a política de segurança de conteúdo do WhatsApp Web não traz a diretiva form-action e, segundo a especificação, essa ausência significa que o envio de um formulário no nível superior pode navegar para qualquer origem. Assim, o próprio WhatsApp realiza a navegação, faz POST do seu próprio DOM renderizado para o nosso endpoint controlado e, em seguida, renderiza fielmente o que enviamos de volta.”
Como resultado, um threat actor pode explorar o HermeticReader para capturar a lista de conversas renderizada, os nomes dos contatos, as mensagens, o nome do perfil e o texto visível da conversa aberta. Apesar da exposição significativa, o ataque não exige cookies de sessão, malware, phishing para roubar credenciais ou a extração do cookie de sessão da vítima. O único pré-requisito é a interação do usuário.
É importante observar que mensagens que não tenham sido carregadas ou renderizadas não são vazadas nesse ataque. Os pesquisadores da Guardio mencionam ainda outro cenário em que hackers poderiam sequestrar contas do WhatsApp. Ao explorar a mesma funcionalidade de controle do DOM, um atacante poderia substituir o código QR de vinculação do dispositivo no WhatsApp e assumir o controle da conta da vítima. No entanto, esse cenário exigiria que a vítima escaneasse o código QR substituído, o que adiciona uma barreira considerável ao ataque.
A falha foi corrigida na versão 26.5.2.3 e distribuída automaticamente aos usuários, mas o problema afeta todas as versões anteriores e incluindo a 26.5.2.2. Ainda assim, a recomendação é verificar se a versão mais recente está instalada.
O pesquisador principal da Guardio Labs, Nati Tal, disse ao BleepingComputer que não há sinais de exploração ativa da
CVE-2026-48294
. Segundo o pesquisador, a falha foi identificada apenas quatro horas depois de a Adobe introduzi-la em uma atualização da extensão. A empresa reagiu rapidamente ao relatório de vulnerabilidade e lançou um patch em até dois dias, durante um fim de semana.
A Guardio elogiou a resposta rápida da Adobe e afirmou que a ação imediata da empresa correspondeu à gravidade de uma falha em uma extensão instalada em mais de 314 milhões de navegadores. A Adobe informou a Nati Tal que, em geral, não publica boletins de segurança para produtos de consumo, mas reconheceu a falha neste caso.
A recomendação é verificar se a extensão Adobe Acrobat para Chrome está atualizada para a versão 26.5.2.3.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...