Falha no Adobe Acrobat permitia roubar conversas do WhatsApp Web
Uma vulnerabilidade grave na extensão do Adobe Acrobat para Google Chrome abriu caminho para o roubo de conversas do WhatsApp Web, além de dados de contatos e informações de perfil exibidas na interface do mensageiro. O complemento, amplamente difundido, estava presente em aproximadamente 329 milhões de instalações, o que ampliava enormemente o impacto potencial do problema.
O erro de segurança foi catalogado como CVE-2026-48294 e batizado de HermeticReader pelos pesquisadores que o identificaram. Na escala CVSS, usada para medir a criticidade de falhas, recebeu pontuação 7,4, classificada como alta. Todas as versões da extensão até a edição 26.5.2.2 estavam vulneráveis, o que significa que, por um período, praticamente toda a base de usuários do plugin ficou exposta.
O cenário de ataque era relativamente simples: bastava que a vítima tivesse a extensão do Acrobat instalada no Chrome, estivesse logada no WhatsApp Web e acessasse um site malicioso desenvolvido para explorar a brecha. Não havia necessidade de instalar programas adicionais, fornecer senhas, aprovar permissões suspeitas ou baixar anexos – o simples acesso à página preparada já era suficiente para que o ataque fosse disparado.
A cadeia de exploração se apoiava em páginas internas da própria extensão, que podiam ser acessadas e manipuladas por sites externos devido à falta de uma validação adequada da origem das mensagens recebidas. Em vez de bloquear comandos vindos de domínios não autorizados, o componente aceitava instruções de qualquer página, abrindo uma porta para que atacantes interferissem na comunicação entre o navegador, a extensão e o WhatsApp Web.
Com essa brecha, o site malicioso conseguia modificar o armazenamento local do navegador e acionar o Hermes, um mecanismo usado para integrar o Adobe Acrobat ao WhatsApp Web. Essa integração foi criada originalmente para permitir funcionalidades como visualização, impressão ou manipulação de PDFs diretamente a partir da interface do mensageiro, mas acabou se tornando o elo fraco explorado no ataque.
Depois de acionar o Hermes, o exploit passava a tentar prever o identificador numérico da aba do Chrome na qual o WhatsApp Web estava aberto. Cada aba do navegador recebe um ID interno, e o ataque fazia uso de técnicas para adivinhar esse número. Uma vez encontrado o identificador correto, o código malicioso enviava comandos diretamente ao componente do Acrobat carregado naquela instância do WhatsApp Web.
Essa comunicação indevida não quebrava a criptografia de ponta a ponta do WhatsApp, mas contornava o problema de outra maneira: manipulava os elementos já descriptografados e exibidos na tela do usuário. Em outras palavras, a falha atuava na “ponta” do cliente, na interface onde o conteúdo das mensagens já está legível, anulando a proteção oferecida pela criptografia durante o trânsito dos dados entre os dispositivos.
O conteúdo renderizado na página – incluindo nomes de contatos, lista de conversas, prévias de mensagens, nome do perfil e o texto completo do chat atualmente aberto – era copiado para um formulário oculto construído em segundo plano. Esse formulário, invisível ao usuário, era então enviado automaticamente para um servidor controlado pelo invasor, sem qualquer indicação visual de que algo anormal estivesse acontecendo.
Na prática, o atacante ganhava a capacidade de monitorar em tempo quase real a atividade do usuário no WhatsApp Web, acessar dados sensíveis de conversas pessoais e profissionais e até mapear relações de comunicação, apenas induzindo a vítima a visitar um site especialmente preparado. Em ambientes corporativos, isso poderia significar a exposição de informações sigilosas, negociações confidenciais, dados de clientes e estratégias internas.
Diante da gravidade da descoberta, a Adobe lançou uma correção na versão 26.5.2.3 da extensão, distribuída automaticamente pela Chrome Web Store. Usuários que mantêm as atualizações automáticas ativadas receberam o patch sem precisar tomar qualquer ação manual. Até o momento da divulgação técnica da falha, não havia evidências públicas de que a vulnerabilidade tivesse sido explorada de forma massiva em ataques reais, mas o potencial de dano era elevado.
O caso evidencia um ponto crítico na segurança atual: mesmo serviços que investem pesado em proteção, como o WhatsApp com a sua criptografia de ponta a ponta, podem ser comprometidos por falhas em componentes de terceiros que rodam no navegador. Extensões aparentemente inofensivas, criadas para funções comuns do dia a dia, tornam-se vetores poderosos para driblar mecanismos de segurança bem consolidados.
Para usuários finais, o episódio reforça a importância de revisar periodicamente as extensões instaladas no navegador, mantendo apenas o que é realmente necessário e garantindo que tudo esteja atualizado. Complementos que pedem permissões amplas, como acesso a dados de todos os sites, devem ser avaliados com cuidado extra. Quanto menor a superfície de ataque – ou seja, quanto menos extensões instaladas e menos permissões concedidas – menor a chance de problemas semelhantes.
Empresas e organizações também precisam considerar o risco associado ao uso irrestrito de extensões em estações de trabalho. Políticas que controlam quais plugins podem ser instalados, auditorias periódicas e monitoramento de versões podem reduzir muito o impacto de vulnerabilidades desse tipo. Em ambientes sensíveis, é recomendável restringir extensões apenas às aprovadas por equipes de segurança, com testes prévios e acompanhamento contínuo.
Outro aspecto relevante é o modelo de confiança que muitos usuários depositam em grandes marcas. O fato de a falha estar em um produto de um fornecedor amplamente conhecido, como a Adobe, mostra que nenhum software está imune a erros de implementação. A reputação do fabricante não elimina a necessidade de atualizações constantes, avaliações de risco e uso de boas práticas de segurança.
Do ponto de vista técnico, a vulnerabilidade ressalta a importância de mecanismos rigorosos de validação de origem em extensões de navegador. Qualquer componente capaz de interagir com páginas da web ou com outros serviços deve verificar cuidadosamente quem está enviando comandos e dados. A ausência dessa checagem básica abre espaço para ataques de injeção de mensagens e de uso indevido de APIs internas.
Também é um lembrete de que integrações entre ferramentas – como a criada pelo Hermes entre o Acrobat e o WhatsApp Web – precisam ser projetadas com o princípio do menor privilégio. O componente de integração deve ter acesso apenas ao estritamente necessário, e preferencialmente com barreiras adicionais que impeçam que páginas não autorizadas se aproveitem das mesmas funções.
Para quem utiliza intensivamente o WhatsApp Web, algumas medidas práticas podem ajudar a reduzir riscos futuros: manter o navegador sempre atualizado, revisar extensões ativas, sair de sessões em computadores compartilhados ou pouco confiáveis e evitar abrir links desconhecidos enquanto estiver com o mensageiro aberto. Embora nenhuma medida isolada ofereça proteção absoluta, a soma desses cuidados aumenta significativamente o nível de segurança.
Por fim, o episódio HermeticReader se encaixa em um movimento mais amplo de exploração de vulnerabilidades em softwares integrados a serviços populares. À medida que cresce o uso de ferramentas com inteligência artificial, complementos avançados e novas plataformas de produtividade, aumenta também a complexidade da superfície de ataque. Isso exige respostas mais rápidas dos fabricantes, maior transparência nas correções e uma postura mais crítica por parte de usuários e administradores de TI.