A popular extensão do Adobe Acrobat para o Google Chrome, instalada em cerca de 329 milhões de browsers em todo o mundo, foi recentemente alvo da correção de uma vulnerabilidade crítica. A falha, apelidada de HermeticReader pelos investigadores da empresa de cibersegurança Guardio, permitia que atacantes acedessem e extraíssem dados confidenciais diretamente de conversas na plataforma WhatsApp Web sem qualquer tipo de autenticação.
Para que a exploração fosse bem-sucedida, bastava que a vítima, tendo a referida extensão ativa no navegador, visitasse uma página web maliciosa controlada pelos cibercriminosos. O problema já foi formalmente documentado e mitigado pela tecnológica.
O mecanismo de ataque ao WhatsApp Web
A vulnerabilidade técnica, identificada como CVE-2026-48294, baseava-se numa cadeia de três falhas que permitiam uma escrita sem autenticação e com "zero-clicks" no armazenamento interno da própria extensão da Adobe. Segundo os analistas do Guardio Labs revelaram ao veículo BleepingComputer, o add-on possuía um recurso HTML interno que podia ser incorporado em qualquer página da internet através de uma iframe.
Este recurso recebia comandos através de parâmetros de URL que eram posteriormente reencaminhados para o service worker (a base de processamento da extensão que detém permissões elevadas no sistema), sem validar se a instrução provinha de um script legítimo da Adobe ou de um domínio externo. A partir daí, o ataque ativava a integração da extensão com o WhatsApp Web através do motor interno Hermes, que serve de intermediário entre as duas ferramentas.
Com o motor Hermes ativado de forma maliciosa, os atacantes conseguiam manipular o Modelo de Objeto do Documento (DOM) da aba do serviço de mensagens. A intrusão foi demonstrada com a injeção de um formulário no WhatsApp Web que movia o conteúdo visível da página para um elemento de seleção e o enviava para um servidor externo. Como a política de segurança de conteúdo (CSP) do WhatsApp não restringia esta ação específica, os dados eram exportados.
Dados expostos e riscos de roubo de conta
A exploração do HermeticReader permitia aos atacantes ler e desviar informações sensíveis que estivessem ativas e carregadas no ecrã do utilizador. Entre os dados expostos encontravam-se:
Lista de chats ativos;
Nomes dos contactos guardados;
Conteúdo das mensagens e conversas;
Nome do perfil do utilizador.
Os investigadores da Guardio alertaram ainda para um cenário secundário e mais severo: a capacidade de controlo do DOM permitiria substituir o código QR de emparelhamento de novos dispositivos do WhatsApp. Desta forma, o atacante conseguiria assumir o controlo total da conta da vítima, embora este método exigisse a interação humana de digitalizar o código alterado. Importa sublinhar que mensagens antigas ou que não tivessem sido explicitamente carregadas na sessão atual do WhatsApp Web não ficavam vulneráveis à fuga.
Atualização já disponível para os utilizadores
De acordo com o investigador principal da Guardio Labs, Nati Tal, a falha foi detetada apenas quatro horas após a Adobe a ter introduzido inadvertidamente numa atualização da extensão. Após receber o relatório de segurança, a Adobe reagiu rapidamente e disponibilizou uma correção global num período de dois dias, durante o fim de semana. Não existem indícios de que a vulnerabilidade tenha sido explorada ativamente no mercado antes da correção.
A falha afetava todas as versões iguais ou inferiores à 26.5.2.1 da extensão do Adobe Acrobat para o Chrome. O problema foi resolvido na versão 26.5.2.3, cuja distribuição é feita de forma automática na Chrome Web Store. Ainda assim, recomenda-se aos utilizadores a verificação manual nas definições do browser para garantir que a proteção está devidamente instalada. Conforme detalhado no relatório técnico da Guardio, a Adobe validou a gravidade da ocorrência apesar de, por norma, não emitir boletins de segurança públicos dirigidos a produtos de consumo direto.
Nenhum comentário
Seja o primeiro!