- Guardio Labsが、サイト間のデータ漏えいを可能にするCVE‑2026‑48294をAdobe AcrobatのChrome拡張機能で発見
- 拡張機能が有効な状態で悪意あるランディングページを開くと、攻撃者がWhatsApp Webのチャットを盗み見できる恐れ
- Adobeはバージョン26.7.2.0で脆弱性を修正、3億1,400万人の拡張機能ユーザーにアップデートを推奨
Adobe AcrobatのChrome拡張機能を使っていて、なおかつWhatsApp Webでのチャットも愛用しているという方は、対処すべきセキュリティ脆弱性がある可能性があります。
Guardio Labsのセキュリティ研究者は、「UXSS(ユニバーサル・クロスサイトスクリプティング)クラスのクロスオリジン・データ漏えい脆弱性」を発見しました。これは、あるウェブサイトが、別のタブで読み込まれている別のウェブサイトの内容を読み取れてしまうことを意味します。
この脆弱性はAdobe AcrobatのChrome拡張機能で見つかったもので、現在はCVE-2026-48294として追跡されています。深刻度スコアは7.4/10(高)と評価され、バージョン26.5.2.2以前が影響を受けます。Guardio Labsは、悪用される仕組みにちなんでこれを「HermeticReader」と名付けました。
「侮辱的なほど平凡」な手口
この拡張機能には、Google DriveやこのケースではWhatsApp Webなど、さまざまな連携機能が搭載されています。今回バグが見つかったのは、内部で「Hermes」と呼ばれているWhatsApp連携コンポーネントです。
理論上、攻撃者は新たなランディングページを作成し、メールやインスタントメッセージ、SEOポイズニングなどの手法で被害者に共有できます。被害者が、1)脆弱性のあるバージョンのAdobe Acrobat Chrome拡張機能をインストールしており、2)別タブでWhatsAppを開いており、3)その悪意あるランディングページを開いてしまった場合、拡張機能内の脆弱なコードパスが発動し、攻撃者が被害者のWhatsApp上のすべての情報にアクセスできてしまう恐れがあります。
一部の情報筋は、脅威アクターがこの脆弱性を悪用し、WhatsApp経由で送られるワンタイムパスコードを窃取できる可能性があると指摘しています。
「その手口は、侮辱的なほど平凡です。検索結果やマーケティングメールなどでたどり着くようなページに見せかけた、攻撃者が管理するページを用意するだけです」と、Guardio Labsは分析の中で述べています。
「Adobe Acrobat拡張機能を既にインストール済みの訪問者が、そのページを開いてしまいます。すると、そのページが拡張機能内で休眠していたエンジンを起動させ、WhatsApp Webへ直接アクセスします。数秒後には、レンダリングされたWhatsApp Webの画面――チャットリスト、連絡先名、メッセージ、プロフィール名、開かれている会話のテキストまで――WhatsAppのすべてが攻撃者の手に渡ってしまうのです」
Adobeはこの問題を公式に認め、Guardio Labsの研究者による協力に謝意を示しています。また、現在ダウンロード可能なバージョン26.7.2.0で既に修正済みです。この拡張機能のユーザー数は3億1,400万人を超えています。
