Adobe Acrobat: luka rozszerzenia czytała WhatsApp Web

Badacze Guardio Labs opisali podatność CVE-2026-48294 (nazwaną HermeticReader) w rozszerzeniu Adobe Acrobat PDF dla przeglądarki Chrome. Luka pozwalała złośliwej stronie internetowej ominąć zasadę tego samego pochodzenia (same-origin policy) i odczytać dane powiązane z sesją ofiary w innych serwisach — w demonstracji były to prywatne czaty WhatsApp Web. Rozszerzenie jest zainstalowane na setkach milionów przeglądarek, więc skala potencjalnej ekspozycji jest duża.

Trzymamy się faktów potwierdzonych przez badaczy i producenta.

Na czym polegał błąd

CVE-2026-48294 to podatność klasy UXSS / cross-origin data disclosure o ocenie CVSS 7.4. W praktyce oznaczało to, że kod z jednej (kontrolowanej przez atakującego) strony mógł, dzięki błędowi w rozszerzeniu, sięgnąć do danych z innego pochodzenia — czyli obejść fundamentalną granicę bezpieczeństwa przeglądarki.

W pokazie badacze wykorzystali to przeciwko WhatsApp Web: możliwe było odczytanie listy rozmów, nazw kontaktów i treści wiadomości. Warto podkreślić, że sama zasada same-origin istnieje właśnie po to, by strona A nie mogła czytać danych strony B — a wadliwe rozszerzenie stało się mostem, który tę granicę omijał.

Co trzeba wiedzieć o zasięgu i łatce

Podatne były wszystkie wersje rozszerzenia Adobe Acrobat dla Chrome do 26.5.2.2 włącznie. Rozszerzenie liczy — według różnych szacunków — rzędu 314–329 milionów instalacji, co czyni je bardzo szeroką powierzchnią ataku.

Adobe naprawił błąd w wersji 26.5.2.3, dystrybuowanej automatycznie przez Chrome Web Store w ciągu jednego weekendu. Wykorzystanie wymagało interakcji użytkownika — ofiara musiała wejść na spreparowany adres lub na zainfekowaną stronę uruchamiającą podatny kod.

Lekcja: rozszerzenia to realna powierzchnia ataku

Ten przypadek dobrze pokazuje, dlaczego rozszerzenia przeglądarki zasługują na taką samą uwagę jak każde inne oprogramowanie. Mają szerokie uprawnienia, działają w kontekście odwiedzanych stron i bywają instalowane masowo bez kontroli działu IT. To klasyczny przykład shadow IT — narzędzi, które trafiają do organizacji poza procesem, a mimo to mają dostęp do wrażliwych danych.

Dobra wiadomość jest taka, że w tym wypadku mechanizm auto-aktualizacji Chrome Web Store zadziałał szybko. Zła — że użytkownik często nie wie nawet, ile rozszerzeń ma zainstalowanych ani jakie mają uprawnienia.

Co zrobić

1. Sprawdź wersję rozszerzenia. Upewnij się, że Adobe Acrobat dla Chrome jest w wersji 26.5.2.3 lub nowszej. W chrome://extensions włącz tryb dewelopera, by zobaczyć numer wersji.
2. Zweryfikuj auto-aktualizacje rozszerzeń. Auto-update zwykle załatwia sprawę, ale w środowiskach z politykami blokującymi aktualizacje warto potwierdzić, że poprawka faktycznie się wgrała.
3. Zrób przegląd zainstalowanych rozszerzeń. Usuń te nieużywane i o nadmiernych uprawnieniach. Każde rozszerzenie z dostępem „do wszystkich stron” to potencjalny most cross-origin.
4. W firmie zarządzaj rozszerzeniami centralnie. Rozważ allowlistę rozszerzeń przez polityki przeglądarki, zamiast pozostawiać instalację użytkownikom.
5. Traktuj przeglądarkę jak system operacyjny. To dziś główne środowisko pracy z danymi — jego higiena (aktualizacje, minimalizm rozszerzeń) jest częścią bezpieczeństwa stacji roboczej.

Najważniejszy wniosek

HermeticReader nie wymagał od ofiary instalowania niczego złośliwego — wystarczyło popularne, legalne rozszerzenie z błędem i wejście na złą stronę. Aktualizacja do 26.5.2.3 zamyka tę konkretną lukę, ale trwałym wnioskiem jest kontrola nad tym, co działa w przeglądarkach organizacji. Jeśli chcesz uporządkować rozszerzenia i shadow IT, zacznijmy od przeglądu.

Źródła: The Hacker News, BleepingComputer, Security Affairs.