Разширение на Adobe за около 329 милиона браузъра имаше уязвимост, която изследователите нарекоха HermeticReader. Тя позволяваше на всяка отворена от вас уеб страница да чете съдържанието на вашия WhatsApp Web. Списъкът с чатове, имената на контактите, отвореният разговор – всичко това се извличаше от екрана, без да правите нищо друго, освен да посетите страницата.

В случая нямаше зловреден код. Нищо не се инсталираше на компютъра ви, нищо не се изтегляше. Паролата ви оставаше незасегната, както и бисквитката за сесията. Самият WhatsApp нямаше грешка. На атакуващия не му беше нужен акаунт в Adobe, нито достъп до вашия компютър. Достатъчно беше да отворите страница, която прилича на резултат от търсене или връзка в имейл.

Въпросното разширение е добавката Adobe Acrobat PDF за Chrome – една от най-инсталираните в Chrome Web Store. От Guardio Labs откриват проблема и му дават името HermeticReader. Той е регистриран като CVE-2026-48294. Adobe му даде оценка 7.4 от 10 по скалата за сериозност, а базата данни на NIST го оцени по-високо – на 8.2. Двете оценки са близки, но NIST добави нещо, което Adobe не направи: същата верига от действия може да променя страницата, а не само да я чете. Това повиши оценката му. Уязвимостта се намира във функция, пусната от Adobe на 3 юни – интеграция с WhatsApp, чийто вътрешен двигател се нарича Hermes.Атаката се извършваше в три стъпки, като всяка се опираше на привидно безобидни преки пътища:

  • Първа стъпка: Страницата се представя за Adobe. Разширението съдържа собствени страници и позволява на всеки уебсайт да ги зарежда в скрита рамка (iframe). Тези страници четат част от адреса си и я предават на фоновата услуга на разширението, която автоматично се доверява на адреси, започващи с chrome-extension://. Тъй като липсва проверка кой изпраща данните, услугата записва всичко директно в хранилището на разширението без списък с разрешени адреси. Така всяка страница може да запише стойност в разширението на Adobe и да активира модула за WhatsApp.
  • Втора стъпка: Намиране на отворения раздел (таб) на WhatsApp. Услугата се нуждае от идентификатора, който Chrome дава на раздела с отворен WhatsApp Web. Тези номера се генерират последователно. Атакуващата страница чете собствения си номер, отваря уеб адреса на WhatsApp и новият раздел получава номер, равен на нейния плюс едно. За да прочете собствения си номер, страницата използва втора слаба точка: разширението третира даден адрес като легитимен резултат от Google или Bing, ако той просто започва с www.google. (например www.google.attacker-domain.com).
  • Трета стъпка: Изпращане на команди към WhatsApp. С разполагането на номера на раздела, атакуващата страница фалшифицира съобщения, които разширението предава към раздела на WhatsApp, където се изпълнява скриптът на Adobe. Този скрипт може да инжектира HTML код или да вика методи в прозореца, без да проверява подателя.

Последното препятствие беше защитата на WhatsApp Web срещу изпълнение на инжектирани скриптове. За да я заобиколят, изследователите не стартираха скрипт, а накараха WhatsApp сам да изпрати данните си. Те вмъкнаха обикновена HTML форма, насочена към техен сървър, със празно падащо меню, в което поставиха живото съдържание на страницата на WhatsApp. Поради спецификациите на HTML стандарта, формата изпрати цялото текстово съдържание на прозореца към атакуващите, тъй като WhatsApp нямаше дефинирано правило кои дестинации за изпращане на форми са разрешени.

За вписан потребител това означаваше изтичане на списъка с чатове, имената на контактите, визуализациите на съобщенията и текста на активния разговор.

Четенето беше само началото. Същото инжектиране на HTML можеше да подмени QR кода за вход в WhatsApp Web с такъв, притежаван от атакуващия. При сканиране се свързва телефонът на киберпрестъпника, което води до пълен контрол над акаунта. Освен това много услуги изпращат своите кодове за еднократна автентификация през WhatsApp, които също стават видими за злонамерения субект.

Две неща тук са по-важни от самата уязвимост:

Първото е скоростта. Guardio проведе проучването с помощта на собствена AI система, която декомпилира разширението, изчисти 344 обфускирани файла с код, анализира обработчик на съобщения със 138 разклонения и насочи човека изследовател към критичните зони. Те разполагаха с работещ експлоит само часове след като Adobe пусна новата версия. Времето между появата на една уязвимост и нейното разкриване се свива драстично.

Второто е колко стандартно беше всичко – без сложни манипулации на паметта или скъпи инструменти.