Publicado en

Vulnerabilidad en la extensión de Adobe Acrobat permitía el robo de datos de WhatsApp Web

•Publicado enVulnerabilidades


Investigadores de ciberseguridad han revelado detalles sobre una cadena de vulnerabilidades, ya parcheada, en la extensión de Adobe Acrobat para Google Chrome. Esta herramienta, que cuenta con más de 314 millones de usuarios, presentaba un fallo que permitía a sitios web maliciosos secuestrar y leer datos privados de las sesiones de WhatsApp Web de los usuarios.

HermeticReader: La amenaza en la «fontanería» del navegador

Identificada oficialmente como CVE-2026-48294 y apodada HermeticReader por Guardio Labs, la vulnerabilidad tiene una puntuación de severidad CVSS de 7.4. Técnicamente, se clasifica como una vulnerabilidad de divulgación de datos de origen cruzado de tipo UXSS (Universal Cross-Site Scripting).

A diferencia del XSS convencional, que afecta a un sitio web específico, un ataque UXSS aprovecha vulnerabilidades en el navegador o en sus extensiones para eludir la Política de Mismo Origen (SOP). Esto permite que un atacante acceda a datos de cualquier sitio web abierto en el navegador, en este caso, apuntando directamente a la interfaz de WhatsApp Web.

¿Cómo funcionaba el ataque?

Para que la explotación tuviera éxito, el atacante solo necesitaba que la víctima visitara una página web especialmente diseñada (a través de técnicas de ingeniería social, correos de marketing o resultados de búsqueda). Una vez que el usuario con la extensión instalada entraba en el sitio, se desencadenaba la siguiente secuencia:

  • Activación del motor: La página maliciosa despertaba un motor interno de la extensión llamado «Hermes».
  • Interacción con la pestaña de WhatsApp: La extensión obtenía el ID de la pestaña donde el usuario tenía abierto WhatsApp Web.
  • Inyección de código: El motor manipulaba el DOM (la estructura interna) de WhatsApp Web para inyectar un formulario oculto.
  • Exfiltración de datos: Aprovechando que WhatsApp Web carecía de una directiva form-action en su política de seguridad de contenido (CSP), el formulario enviaba todo el texto renderizado de los chats a un servidor controlado por el atacante.

Como resultado, el ciberdelincuente podía obtener listas de contactos, nombres, vistas previas de mensajes y el contenido íntegro de la conversación que el usuario tuviera abierta en ese momento.

Implicaciones para el entorno empresarial

Lo más preocupante de este hallazgo es que no requería la instalación de malware ni el robo de credenciales o cookies de sesión. Todo el proceso ocurría de forma silenciosa mediante el uso legítimo de las capacidades de la extensión de Adobe.

Para las empresas, esto representa un riesgo crítico de fuga de información sensible, ya que WhatsApp Web se utiliza frecuentemente para comunicaciones corporativas rápidas que pueden contener datos de clientes, estrategias o información confidencial.

Recomendaciones de Intedya

Adobe ya ha publicado una actualización que corrige este fallo. Desde el departamento de ciberseguridad de Intedya, recomendamos encarecidamente tomar las siguientes medidas:

  1. Actualización inmediata: Asegúrese de que la extensión de Adobe Acrobat en sus navegadores Chrome sea la versión 26.5.2.2 o superior.
  2. Auditoría de extensiones: Evalúe la necesidad real de las extensiones instaladas en los equipos corporativos. Cuantas más extensiones tenga un navegador, mayor es la superficie de ataque.
  3. Políticas de CSP: Para los desarrolladores de aplicaciones web, este caso subraya la importancia de configurar correctamente las directivas de Content Security Policy, específicamente form-action, para evitar el envío de datos a orígenes no autorizados.

Este incidente nos recuerda que, a menudo, los fallos en los componentes más cotidianos de nuestro software son los que pueden comprometer la seguridad de toda la infraestructura.


Fuentes