Una falla nell’estensione Acrobat per Chrome ha permesso, almeno fino a poche settimane fa, di curiosare tra le conversazioni private di WhatsApp Web senza nemmeno dover fare login. A scoprirla sono stati i ricercatori di Guardio, che l’hanno battezzata HermeticReader. Il meccanismo è tanto semplice quanto inquietante, e bastava che la vittima aprisse la pagina web sbagliata per finire nei guai. Adobe, va detto subito, ha già corretto il problema con un aggiornamento.
Come funziona l’accesso alle chat di WhatsApp
Il nome scelto dai ricercatori non è casuale e arriva da Hermes, un componente interno dell’estensione che si occupa di dialogare con WhatsApp Web. In pratica, quando riceve una determinata richiesta, apre il file PDF condiviso attraverso il servizio di messaggistica. Il punto debole sta proprio qui, perché per sfruttare la falla era sufficiente nascondere i comandi che attivano Hermes dentro una normale pagina web.
A quel punto ai criminali informatici restava solo da convincere l’utente a visitare quella pagina. E i modi non mancano di certo, tra post sui social, email pubblicitarie o risultati che spuntano tra le ricerche. La cosa più preoccupante è che non serviva alcun malware, nessun tentativo di phishing, niente cookie di sessione o account Adobe. La pagina, una volta aperta, iniettava i comandi nell’estensione e apriva WhatsApp Web come se nulla fosse.
Quali dati erano esposti e la correzione di Adobe
Il risultato di questo attacco è pesante. Chi ci finiva dietro poteva mettere le mani sull’account della vittima e quindi su tutto quello che conteneva, dal contenuto delle conversazioni all’elenco completo delle chat, passando per i nomi dei contatti, i messaggi e persino il nome del profilo. La vulnerabilità era presente nella versione 26.5.2.1 e in quelle precedenti di Acrobat per Chrome, un’estensione installata su oltre 329 milioni di browser. Numeri che rendono l’idea della portata del problema.
Dopo aver ricevuto la segnalazione, Adobe ha assegnato alla falla il codice CVE-2026-48294 e ha rilasciato la versione 26.5.2.3 con la patch. Al momento, sul Chrome Web Store, è disponibile la versione 26.7.2.1, ancora più aggiornata.
C’è poi un dettaglio che merita attenzione. Guardio ha spiegato di aver individuato il problema in appena 4 ore dopo la pubblicazione della versione 26.5.2.1, e lo ha fatto usando un tool agentico. Un esempio concreto di come l’intelligenza artificiale possa diventare un alleato prezioso quando si tratta di scovare le crepe nella sicurezza informatica, anziché aprirne di nuove.