Se ha descubierto una vulnerabilidad denominada "HermeticReader" (CVE-2026-48294) en la extensión de Adobe Acrobat para Chrome. Este fallo permitía a los atacantes robar chats, contactos y datos de perfil de WhatsApp Web de forma silenciosa. Lo más crítico es que la extracción de información ocurría simplemente con visitar una página web maliciosa, sin necesidad de que el usuario realizara clics, descargas o revelara sus credenciales.

Un fallo recientemente revelado en la extensión de Adobe Acrobat para Chrome permitía a los atacantes recolectar silenciosamente chats de WhatsApp Web, contactos y datos de perfil de cualquier usuario que simplemente visitara una página web maliciosa; sin necesidad de clics, descargas o robo de credenciales.

Investigadores de seguridad de Guardio Labs descubrieron el fallo, apodado "HermeticReader", y rastreado oficialmente como CVE-2026-48294 con una puntuación CVSS de 7.4.

El error se clasifica como un problema de cross-site scripting universal (UXSS) que permite a un sitio malicioso eludir la política de mismo origen del navegador y leer datos vinculados a la sesión activa de una víctima en otra pestaña.

Afecta a todas las versiones de la extensión de Adobe Acrobat PDF para Chrome hasta la 26.5.2.2 inclusive, una extensión instalada en aproximadamente 314–329 millones de navegadores en todo el mundo.

Cómo funciona el ataque HermeticReader

La cadena de explotación comienza en el momento en que una víctima, que ya tiene la extensión instalada, aterriza en una página controlada por un atacante disfrazada de un sitio ordinario. A partir de ahí, el ataque se desarrolla en unos pocos pasos silenciosos:

• Un iframe oculto cargado desde los propios recursos accesibles web de la extensión envía un mensaje falsificado al service worker de fondo de la extensión, el cual nunca verifica quién es realmente el remitente.
• Esto permite al atacante escribir datos arbitrarios en el almacenamiento local de la extensión, activando una bandera de función oculta que pone en marcha "Hermes", el motor de integración de WhatsApp Web latente de Adobe.
• La página maliciosa abre entonces silenciosamente WhatsApp Web en una pestaña de fondo y predice su ID numérico de pestaña explotando el sistema de numeración secuencial de pestañas de Chrome.

• Con ese ID en mano, el atacante envía comandos directamente al script de contenido de Hermes que se ejecuta en la pestaña de WhatsApp, manipulando el DOM de la página.

El truco final no requirió ninguna ejecución de scripts maliciosos. Los investigadores de Guardio descubrieron que el motor comprometido podía inyectar un formulario oculto en la página de WhatsApp Web y luego reubicar físicamente el cuerpo del chat activo dentro de ese formulario utilizando operaciones legítimas del DOM.

Debido a que el campo de opción oculta del formulario no tenía un atributo "value", al enviarlo, el navegador enviaba todo el contenido de texto renderizado de la página —listas de chats, nombres de contactos, vistas previas de mensajes y la conversación abierta— directamente al servidor del atacante.

Dado que la política de seguridad de contenido de WhatsApp Web carecía de una restricción de acción de formulario (form-action), el navegador permitió este envío entre orígenes sin objeciones.

La exposición se limitó al texto renderizado en pantalla en lugar de las cargas útiles de mensajes cifrados originales, pero para la mayoría de los usuarios esa distinción ofrece poco consuelo: el contenido visible del chat es el secreto.

Guardio informó del problema al PSIRT de Adobe y la empresa actuó con una rapidez inusual: el fallo fue reconocido, corregido y lanzado en la versión 26.5.2.3 en un solo fin de semana, asignándose el CVE formalmente días después.

La corrección se implementó automáticamente a través de la Chrome Web Store, aunque los equipos de seguridad recomiendan verificar que las versiones de la extensión instalada estén actualizadas.

Este caso subraya un riesgo creciente en el ecosistema de extensiones del navegador: fallos individualmente menores en el paso de mensajes, la validación del almacenamiento y la lógica de las banderas de funciones pueden combinarse en una cadena completa de compromiso de cuenta, especialmente en extensiones con cientos de millones de instalaciones.

A medida que más extensiones se integran directamente con plataformas de mensajería, el código de "fontanería" no auditado, y no solo los zero-days más llamativos, está emergiendo como una superficie de ataque crítica.

Fuentes:
https://cybersecuritynews.com/acrobat-extension-flaw-whatsapp-chats/