HermeticReaderとは、Chrome向けAdobe Acrobat PDF拡張機能で最近公表された脆弱性に付けられた名称で、CVE-2026-48294として追跡されています。
研究者らは2026年6月上旬にこの問題を発見し、Adobeに報告したところ、Adobeは週末のうちにこの欠陥を修正しました。研究者らによれば、悪意あるウェブサイトに一度アクセスするだけで、AdobeのAcrobat Chromeブラウザ拡張機能がWhatsApp Webでのやり取りをひそかに盗み見るスパイに変わってしまう可能性があったということです。
このエクスプロイトは複数のプラットフォームで機能するため、次の3つの条件を満たしていれば、Windows、macOS、Linux、ChromeOSのいずれのデバイスでも脆弱性の影響を受ける可能性がありました。
- Google Chrome、またはChrome拡張機能に対応した他のChromiumベースのブラウザを使用していること。これらはブラウザ市場全体の約78%を占めています。
- 脆弱性のあるAdobe Acrobat PDF拡張機能がインストールされ、有効になっていること。この拡張機能は報道によれば、約3億2900万台のブラウザにインストールされているとされています。
- 悪意あるウェブサイトにアクセスした時点で、WhatsApp Webのタブを少なくとも1つ開いているか、WhatsApp Webにログインした状態であったこと。
HermeticReaderはWhatsApp自体の不具合を突くものではありませんでした。また、デバイス上のマルウェアや、盗まれたユーザー名・パスワードも必要としませんでした。
被害に遭う可能性のある人は数多く存在します。そして、これらの条件が満たされた場合、特別に細工されたウェブサイトにアクセスするだけで、攻撃者はWhatsAppのチャットリスト、連絡先名、プロフィール名、メッセージ、さらにはその時点で開いていた会話の内容にまでアクセスできてしまう恐れがありました。
攻撃の仕組み
HermeticReaderは、Adobe拡張機能が持つ特権的なコンテキストを利用することで、ブラウザの同一オリジン保護を事実上突破していました。同一オリジン保護とは、簡単に言えば「明確に同一サイト(スキーム、ホスト、ポートが同一)だと確認できない限り、ウェブサイト同士は互いの非公開データを覗き見できない」というブラウザ上のルールです。
問題だったのは、Adobeの拡張機能が通常のウェブサイトよりもはるかに高い権限で動作しており、事実上この制限を回避できてしまう点でした。これは、建物内で招かれた一室だけでなく、すべての部屋を開けられるマスターキーを訪問者に渡してしまうようなものです。
安全を守るために
Adobeは、Acrobat PDF拡張機能のバージョン26.5.2.3でこの脆弱性を修正しました。アップデートは自動的にインストールされますが、自分が最新バージョンを使用しているか確認しておく価値はあります。バージョン26.5.2.2以前はHermeticReaderの影響を受けます。
影響を受ける拡張機能のIDは efaidnbmnnnibpcajpcglclefindmkajです。
さらに、以下の対策も行っておくとよいでしょう。
- WhatsAppアカウントに紐づけられたデバイスを確認し、見覚えのないものや使用していないものからはサインアウトしてください。
- 使用していない、見覚えのない、あるいは信頼できないブラウザ拡張機能は削除してください。
- ソフトウェアや拡張機能を常に最新の状態に保ち、セキュリティ修正が公開され次第すぐに適用されるようにしてください。
HermeticReaderは、ブラウザ拡張機能がユーザーとウェブの間に強力な立場で存在していること、そしてメッセージングやストレージの処理フローが厳格に制限されていなければ、便利な統合機能もプライバシー上のリスクとなり得ることを改めて示す事例です。よく知られたブランドであっても、一時的にユーザーのプライバシーを危険にさらす機能をリリースしてしまうことがあるのです。
詐欺師はあなたをハッキングする必要すらありません。あなたに一度クリックさせるだけでいいのです。
Malwarebytes Identity Theft Protectionなら、問題になる前に不審な activity を検知できます。
