Chrome向けAdobe Acrobat拡張機能に脆弱性が見つかり、認証を一切行わずにWhatsApp Web上でレンダリングされた会話やデータにアクセスできる状態になっていました。
この攻撃は一連の脆弱性を悪用するもので、サイバーセキュリティ企業Guardioの研究者らはこれらをまとめてCVE-2026-48294として追跡し、「HermeticReader」と名付けています。
悪用に必要なのは、Adobe Acrobat拡張機能を実行しているターゲットを、攻撃者が制御するウェブページに誘導することだけです。
WhatsAppの通信を盗み出す手口
問題の根本は、Adobeの拡張機能がどのウェブサイトに対しても、攻撃者のコマンドを拡張機能の内部メッセージに偽装させ、WhatsApp連携機能を起動させた上で、拡張機能の特権的なDOM操作を予測可能なタブIDを持つWhatsAppタブへとリダイレクトできてしまう点にあります。
攻撃者はそのタブIDを拡張機能に渡すことで、WhatsApp WebタブへのコマンドをAcrobatとWhatsAppの仲介役であるHermesエンジンに送り込むことができました。
Hermesは、Adobe AcrobatのChrome拡張機能がWhatsApp Webとのやり取りを処理するために使用する連携エンジンです。拡張機能内部のストレージで特定のフィーチャーフラグが有効化されるまでは休止状態を保ちます。
起動すると、Hermesは連携機能からのリクエストを受け取り、WhatsApp経由で共有されたPDFファイルを開いて応答を返すことができます。また、WhatsAppのDocument Object Model(DOM)を操作できるスクリプトを通じて、メッセージングサービスを実行しているタブに直接コマンドを送信するためにも利用可能です。
BleepingComputerと共有されたレポートの中で、Guardioは、HermeticReaderが3つの脆弱性を悪用し、「認証なし・一度のアクセス・ゼロクリックで、任意のウェブページから拡張機能自体のストレージへの書き込みを可能にする」と説明しています。
「この拡張機能には内部的なHTMLリソースがあり、これは拡張機能の一部であるにもかかわらず、あらゆるページがこれをiframeとして読み込めてしまいます」とGuardio Labsは説明しています。
「この内部HTMLページがコマンドを受け取る仕組みはURLパラメータを介したもので、これが処理された後にサービスワーカー(拡張機能のあらゆる権限を持つバックエンド部分)に送信されますが、その際、送信元が本物のAdobeコンテンツスクリプトなのか、それとも他の任意のページなのかは一切検証されません」と研究者らはBleepingComputerに語っています。
Guardioは、WhatsApp Webにフォームを注入し、ページのライブなbody要素を<option>要素内に移動させた上で、そのフォームを攻撃者が制御するサーバーに送信するという方法でデータ窃取を実証しました。
値が定義されていないoption要素はそのテキスト内容を送信してしまう仕様であり、さらにWhatsAppのコンテンツセキュリティポリシー(CSP)にはform-actionの制限が設定されていなかったとされることから、ブラウザはレンダリングされたページのテキストを攻撃者側に送信し、以下のようなメッセージングデータへのアクセスを許してしまいました。
- チャット一覧
- 連絡先の名前
- メッセージ
- プロフィール名
- 会話の内容
これほど大きな情報漏洩リスクがありながら、HermeticReader攻撃はセッションクッキーを一切必要としません。なお、読み込まれていない、あるいはレンダリングされていないメッセージは、この攻撃では漏洩しない点に留意が必要です。
Guardioの研究者らは、ハッカーがWhatsAppアカウントを乗っ取ることができる別のシナリオにも言及しています。同じDOM制御機能を利用することで、攻撃者はWhatsAppの端末連携用QRコードを差し替え、ユーザーのアカウントを乗っ取ることが可能になるというものです。
ただし、このシナリオでは被害者が差し替えられたQRコードをスキャンする必要があるため、実行のハードルはかなり高くなります。
修正版が公開済み
問題はバージョン26.5.2.3で修正され、ユーザーには自動的に配信されています。とはいえ、ユーザーは自身の環境に最新版が導入されているかを確認することが推奨されます。
Guardio Labsの主任研究者であるNati Tal氏はBleepingComputerに対し、CVE-2026-48294が実際に悪用された形跡は確認していないと述べています。
同研究者によれば、Adobeが拡張機能のアップデートを通じてこの脆弱性を持ち込んでから、わずか4時間後にこれを発見したとのことです。ベンダー側は脆弱性の報告を受けて迅速に対応し、週末を挟みながらもわずか2日でパッチをリリースしました。
Guardioは、この拡張機能が「約3億2900万台のブラウザにインストールされている」ことを踏まえ、Adobeの即応がその深刻さに見合ったものだったとして、迅速な対応を称賛しています。
Adobeは、コンシューマー向け製品については通常セキュリティ情報を公開していないとNati Tal氏に伝えていますが、同社はこちらでこの脆弱性を認めています。
ユーザーは、Chrome向けAdobe Acrobat拡張機能がバージョン26.5.2.3に更新されていることを確認するようにしてください。
攻撃者に先んじて、すべてのレイヤーをテストする
セキュリティチームが記録できている攻撃成功例はわずか54%、アラートが上がるのはたった14%に過ぎません。残りは環境内を検知されないまま通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMとEDRのルールをどうテストし、脅威の見逃しを防ぐかを解説しています。
