推定3億2900万のブラウザにインストールされているAdobe AcrobatのChrome拡張機能に、新たに脆弱性チェーンが発見されました。攻撃者は悪意あるWebページに被害者を誘導するだけで、WhatsApp Webのセッション全体を静かに窃取できてしまいます。チャットの内容、連絡先の名前、プロフィール情報までもが対象です。
この攻撃は、認証不要かつゼロクリックで、任意のWebページから拡張機能のローカルストレージに書き込みを行うところから始まります。これが可能なのは、拡張機能のマニフェストがframe.htmlのようなWebアクセス可能なページを公開しており、これらのページがURLから攻撃者制御下のJSONを直接パースしてサービスワーカーに中継するにもかかわらず、送信元の検証が一切行われていないためです。
このストレージ書き込みによって、隠された開発者向け機能フラグが切り替わり、AdobeがAcrobatとWhatsApp Webを橋渡しするために構築した休眠中の統合エンジン「Hermes」が有効化されます。有効化された後、攻撃者に残された課題は被害者のWhatsApp Webタブの数値タブIDを特定することだけです。
Chromeは単一のインクリメントカウンターからタブIDを割り当てるため、攻撃者のページはまず緩いホスト名の一致判定「google.com」を悪用して自身のタブIDを漏洩させ、その後新しいWhatsApp WebタブをFAlseで開いてそのIDを1つ増分した値として予測します。これにより、盲目的に探索したり推測したりする必要がなくなります。
対象のタブを特定すると、攻撃者は権限の高いHermesコマンドをWhatsApp Webのコンテンツスクリプトに直接送り込みます。
これらのコマンドは、DOM操作、ページやウィンドウオブジェクトへの任意のメソッド呼び出し、ストレージへのアクセスといった強力な機能を公開しており、いずれも許可リストによる制限を受けていません。
WhatsAppのコンテンツセキュリティポリシーによって実行可能なコードの注入がブロックされているため、研究者のShaked Biner氏は正規のHTMLの挙動を悪用する手法を編み出しました。
同氏はWhatsAppのDOMに隠しフォームを注入し、DOM操作を用いてライブページの本体をそのフォーム内の空のoptionエレメントへと物理的に移動させました。
value属性を持たないoptionエレメントはそのテキスト内容を送信するため、フォームを送信すると、そのoptionのテキスト内容、すなわちレンダリングされたページ全体が攻撃者のサーバーにPOSTされます。WhatsApp WebのCSPはフォームの送信先(form-action)を制限していないため、これが可能になっていました。
結果として、WhatsApp Web自身がデータの窃取を実行してしまう形になりました。レンダリングされたチャットリスト、連絡先の名前、メッセージのプレビュー、開いている会話のテキストが、攻撃者が制御するエンドポイントへ送信されていたのです。
この手法は画面上に表示されているレンダリング後のテキストをそのまま取得するため、理論上はWhatsApp経由で届くワンタイムパスコードも取得できてしまう可能性があります。
Guardioは、実行時に一連の攻撃チェーンを最初から最後まで確認した上で、Adobe PSIRTに報告しました。Adobeはこの報告を受理してトリアージを行い、同じ週末のうちにパッチ版であるバージョン26.5.2.3をリリースしました。CVE-2026-48294は数日後に正式に発行されています。
修正パッチは影響を受けたユーザーに自動的に配信されましたが、Guardioはインストール数の規模を踏まえ、拡張機能のバージョンを手動で確認することを推奨しています。
今回のケースは、業界全体に存在するより広範な盲点を浮き彫りにしています。関係した脆弱性は、目新しいメモリ破損バグではなく、送信元の未検証、許可リストの欠如、緩いホスト名一致判定といった、ありふれた基盤部分の不備だったのです。
研究者たちはAI支援の解析基盤も活用し、難読化された拡張機能のコードを解析して攻撃チェーンを数時間で解明しました。従来であれば数週間かかっていた発見までの時間軸を、わずか一日の午後に圧縮した形です。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと事業への影響を軽減しましょう。
翻訳元: https://cyberpress.org/adobe-acrobat-extension-flaw/
