Исследователи Guardio Labs раскрыли цепочку уязвимостей в расширении Adobe Acrobat для Google Chrome, которая позволяла вредоносному сайту получить текст из открытого сеанса WhatsApp Web. Злоумышленнику не требовалось устанавливать вредоносную программу, красть пароль, перехватывать файл cookie или искать ошибку в самом мессенджере. Пользователю было достаточно перейти на подготовленную страницу при установленном уязвимом расширении и действующем входе в WhatsApp Web.
Цепочка получила название HermeticReader и идентификатор CVE-2026-48294. Adobe оценила опасность в 7,4 балла из 10. Официальное описание относит проблему к межсайтовому раскрытию данных класса UXSS — универсального межсайтового скриптинга. Уязвимость затрагивала Adobe Acrobat PDF Extension для Chrome до версии 26.5.2.2 включительно. Исправление вошло в сборку 26.5.2.3.
Масштаб проблемы связан с распространённостью расширения. На момент перепроверки Chrome Web Store показывает около 314 млн пользователей. Guardio оценивала аудиторию примерно в 329 млн браузеров во время исследования. Разница, вероятно, связана с датой измерения и способом подсчёта. Эти цифры обозначают установки или активные профили Chrome, а не подтверждённое число уникальных людей.
HermeticReader не взламывал сквозное шифрование WhatsApp. Переписка передаётся в зашифрованном виде, но после доставки расшифровывается на устройстве и появляется в интерфейсе WhatsApp Web. Атака начиналась уже после этого этапа и направлена на содержимое страницы в браузере.
Слабым звеном оказалось расширение Adobe Acrobat, имевшее собственный механизм интеграции с WhatsApp Web. Компонент под названием Hermes предназначался для работы с PDF-файлами, отправленными в чатах. Он мог взаимодействовать со страницей мессенджера и выполнять операции с её объектной моделью документа — DOM.
DOM представляет открытую веб-страницу в виде дерева элементов: окон, кнопок, форм, списков, изображений и текстовых блоков. Расширения браузера могут получать доступ к этим элементам, если он необходим для заявленных функций. HermeticReader позволял постороннему сайту передавать команды привилегированному компоненту Acrobat и направлять их во вкладку WhatsApp.
Ни ошибка в протоколе WhatsApp, ни получение ключей шифрования для атаки не требовались. Проблема возникла из-за того, как расширение Adobe проверяло внутренние сообщения, управляло настройками и определяло целевую вкладку.
Первая часть цепочки находилась в общедоступном HTML-файле расширения. Один из внутренних файлов Acrobat получал данные из параметра адресной строки, преобразовывал их в сообщение и отправлял фоновому обработчику расширения. Этот обработчик обладал правами Adobe Acrobat и имел доступ к внутреннему хранилищу.
Код не проверял реальное происхождение команды. Фоновый компонент видел сообщение, поступившее со страницы расширения, и воспринимал его как доверенное. Исходные данные при этом контролировал внешний сайт.
Внутреннее хранилище также не ограничивало перечень параметров, которые разрешалось менять. Отсутствовали проверка значений и список допустимых ключей. В результате сторонняя страница могла записывать произвольные настройки в локальное хранилище Acrobat.
Механизм взаимодействия с WhatsApp Web по умолчанию оставался неактивным и включался через внутренний переключатель. Acrobat проверял специальный параметр floodgate-add, предназначенный для управления экспериментальными функциями и служебными настройками.
Атакующий сайт записывал в этот параметр значение dc-cv-hermes. После этого расширение считало механизм Hermes разрешённым и начинало принимать связанные с ним команды.
Включение происходило через штатное хранилище расширения. Эксплуатация не требовала изменения файлов Acrobat, доступа к компьютеру или выполнения машинного кода за пределами браузера.
Так одна логическая ошибка усиливала другую. Общедоступный файл давал канал связи с фоновым обработчиком, отсутствие проверки отправителя превращало сообщение в доверенное, а неограниченная запись в настройки позволяла активировать скрытый компонент.
Для управления WhatsApp Web атакующему требовался числовой идентификатор вкладки Chrome. Обычная веб-страница не имеет права запрашивать номера чужих вкладок, однако исследователи нашли способ получить исходное значение через сам Acrobat.
Расширение пыталось распознавать страницы поисковых систем Google и Bing. Проверка была построена на сравнении начала имени узла. Код определял, начинается ли адрес с www.google. или www.bing., но не проверял окончание домена.
Адрес вида www.google.attacker-example.com проходил такую проверку, хотя не относился к Google. Acrobat запускал на странице свой интерфейс и добавлял в него настоящий номер вкладки. Сайт мог прочитать это значение из встроенного элемента расширения.
Затем страница открывала WhatsApp Web в новой вкладке. В исследованном сценарии Chrome присваивал ей следующий идентификатор из общей последовательности. Зная номер исходной вкладки, код предсказывал номер новой.
После этого вредоносная страница формировала внутреннюю команду Acrobat, указывала предполагаемый номер вкладки WhatsApp и просила Hermes выполнить операцию в её DOM. Фоновый обработчик принимал подставленный идентификатор без достаточной проверки источника.
Демонстрационный образец добавлял на страницу WhatsApp обычную HTML-форму, настроенную на отправку данных серверу исследователей. Внутри формы размещался элемент раскрывающегося списка select с дочерним элементом option.
Дальше Hermes перемещал живое содержимое страницы WhatsApp внутрь этого элемента и вызывал отправку формы. Здесь сработала особенность стандарта HTML: если у option отсутствует явно заданное значение, браузер использует его текстовое содержимое.
Текстовое содержимое элемента включает строки всех расположенных внутри него дочерних узлов. После перемещения DOM-дерева значением поля формы становился текст, который WhatsApp Web уже вывел на страницу.
Ещё одним условием стала политика безопасности содержимого мессенджера. В ней не было директивы form-action, ограничивающей адреса для отправки форм. Браузер поэтому разрешал передать форму на внешний сайт. Страница WhatsApp сама создавала POST-запрос и отправляла собственный отрисованный текст.
Такой способ обходил запрет на чтение данных между сайтами. Злоумышленник не запрашивал содержимое WhatsApp напрямую. Он использовал полномочия Acrobat, менял структуру страницы и заставлял браузер выполнить стандартную отправку формы.
Интеграция, которая открыла путь к WhatsApp Web, появилась в версии Acrobat 26.5.2.1, выпущенной 3 июня 2026 года. Система Guardio начала анализ новой сборки и обнаружила изменения менее чем за четыре часа.
Автоматизированный комплекс распаковал расширение, привёл в читаемый вид 344 запутанных файла JavaScript, сравнил новую версию с ранее разобранным кодом и исследовал обработчик из 138 типов внутренних сообщений. Специалист затем проверил достижимость найденных участков и собрал работающую цепочку.
Исследователи передали материалы группе реагирования Adobe. Компания подтвердила проблему, подготовила исправление и распространила новую сборку в течение тех же выходных. CVE был зарегистрирован через несколько дней. Adobe отдельно указала исследователя Шакеда Бинера в списке авторов ответственного раскрытия.
Глубокий технический разбор появился 22 июля 2026 года. Сама запись CVE была опубликована раньше — 17 июня.
Согласно официальной записи Adobe, переданной в Национальную базу уязвимостей США, уязвимы версии 26.5.2.2 и старше. Безопасной следует считать сборку 26.5.2.3 или любую более новую.
Chrome обычно обновляет расширения автоматически. Обновление может задержаться, если браузер долго не запускался, расширения контролируются корпоративной политикой или профиль работает в изолированной среде.
Версию можно проверить через страницу: chrome://extensions
Там нужно найти Adobe Acrobat, открыть сведения о расширении и убедиться, что установлен выпуск 26.5.2.3 или новее. На момент перепроверки магазин Chrome уже распространяет обновлённую сборку.
Guardio не нашла признаков использования HermeticReader в реальных атаках до раскрытия исследования. Запись CISA, добавленная к CVE 16 июня, также содержала отметку exploitation: none, то есть на тот момент ведомству не были известны подтверждённые случаи эксплуатации.
Вопросы и ответы
Что такое HermeticReader?
HermeticReader — название цепочки уязвимостей в расширении Adobe Acrobat для Chrome. Она позволяла стороннему сайту передавать команды внутренним компонентам расширения и воздействовать на страницу WhatsApp Web.
Какой номер получила уязвимость?
Проблема зарегистрирована как CVE-2026-48294. Adobe оценила её опасность в 7,4 балла по шкале CVSS 3.1.
Какие версии Adobe Acrobat уязвимы?
Официально уязвимыми считаются версии расширения для Chrome до 26.5.2.2 включительно. Исправление выпущено в версии 26.5.2.3.
Достаточно ли было открыть вредоносную страницу?
Да, для кражи отрисованного текста после открытия страницы не требовались дополнительные клики. Сам переход по ссылке считается необходимым взаимодействием пользователя в оценке CVSS.
Могла ли атака скачать всю историю WhatsApp?
Нет. Исследователи подтвердили получение текста, который WhatsApp Web уже загрузил и показал в интерфейсе. Неотрисованные чаты и сообщения автоматически не выгружались.
Взломала ли цепочка сквозное шифрование?
Нет. Данные извлекались после расшифровки на устройстве, когда они уже отображались в браузере.
Крало ли расширение файлы cookie WhatsApp?
Показанная цепочка не требовала получения файлов cookie или токенов сеанса. Атакующий управлял DOM открытой страницы через полномочия Acrobat.
Можно ли было захватить учётную запись?
Hermes позволял заменить QR-код подключения устройства. Пользователь при этом должен был самостоятельно отсканировать поддельный код. Автоматического захвата после одного посещения сайта исследователи не показывали.
Были ли реальные атаки?
Guardio не обнаружила признаков активной эксплуатации до раскрытия. CISA также не располагала подтверждёнными случаями на дату добавления записи.
Нужно ли удалить Adobe Acrobat из Chrome?
Обновлённую версию можно оставить. Расширение лучше удалить, если его функции не используются: сокращение числа дополнений уменьшает поверхность атаки.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
