Descoberta e escopo da falha
Uma falha recém-divulgada na extensão do Adobe Acrobat para Chrome permitiu que atacantes colhessem silenciosamente chats do WhatsApp Web, contatos e dados de perfil de qualquer usuário que simplesmente visitasse uma página web maliciosa, sem necessidade de cliques, downloads ou roubo de credenciais. Pesquisadores de segurança do Guardio Labs descobriram a falha, apelidada de "HermeticReader" e oficialmente rastreada como CVE-2026-48294 com pontuação CVSS de 7.4.
A falha é classificada como uma questão de cross-site scripting universal (UXSS) que permite que um site malicioso contorne a política de mesma origem do navegador e leia dados vinculados à sessão ativa da vítima em outra aba. A vulnerabilidade afeta todas as versões da extensão Adobe Acrobat PDF para Chrome até a 26.5.2.2, uma extensão instalada em aproximadamente 314 a 329 milhões de navegadores em todo o mundo.
Como o ataque HermeticReader funciona
A cadeia de exploração começa no momento em que uma vítima, que já tem a extensão instalada, aterrissa em uma página controlada pelo atacante disfarçada de site comum. A partir daí, o ataque se desenrola em poucos passos silenciosos: um iframe oculto carregado dos próprios recursos web acessíveis da extensão envia uma mensagem forjada para o service worker de fundo da extensão, que nunca verifica quem é o remetente.
Isso permite que o atacante escreva dados arbitrários no armazenamento local da extensão, ativando uma flag de recurso oculta que aciona o "Hermes", o mecanismo de integração do WhatsApp Web adormecido da Adobe. A página maliciosa então abre silenciosamente o WhatsApp Web em uma aba de fundo e prevê seu ID numérico de aba explorando o sistema de numeração sequencial de abas do Chrome.
Exfiltração de dados e impacto
Com esse ID em mãos, o atacante envia comandos diretamente ao script de conteúdo do Hermes executando na aba do WhatsApp, manipulando o DOM da página. O truque final não exigia execução de script malicioso. Os pesquisadores do Guardio descobriram que o mecanismo comprometido poderia injetar um formulário oculto na página do WhatsApp Web e, em seguida, realocar fisicamente o corpo do chat ao vivo para esse formulário usando operações DOM legítimas.
Como o campo de opção oculto do formulário não tinha atributo "value", o envio do formulário fazia com que o navegador enviasse todo o conteúdo de texto renderizado da página, listas de chat, nomes de contatos, prévias de mensagens e a conversa aberta diretamente para o servidor do atacante.
Resposta do fabricante e mitigação
O Guardio reportou o problema ao PSIRT da Adobe, e a empresa agiu incomumente rápido: a falha foi reconhecida, corrigida e enviada na versão 26.5.2.3 em um único fim de semana, com o CVE formalmente atribuído dias depois. A correção foi enviada automaticamente através da Chrome Web Store, embora as equipes de segurança recomendem verificar que as versões de extensão instaladas estejam atualizadas.
Este caso sublinha um risco crescente no ecossistema de extensões de navegador: falhas individualmente menores em passagem de mensagens, validação de armazenamento e lógica de flag de recurso podem se combinar em uma cadeia de comprometimento de conta completa, especialmente em extensões com centenas de milhões de instalações.
Conclusão para CISOs
A segurança de extensões de navegador deve ser uma prioridade, especialmente aquelas com integrações profundas com plataformas de comunicação. A auditoria de código de "canalização" não auditado, não apenas dia zero de destaque, está emergindo como uma superfície de ataque crítica. A verificação de versões de extensão e a restrição de permissões são medidas defensivas essenciais.