Adobe Acrobat zranitelnost WhatsApp: co je Hermes a proč vůbec existuje
Adobe Acrobat rozšíření má integrační modul zvaný Hermes, který obsluhuje spolupráci s WhatsApp Web. Účel je na první pohled neškodný: umožnit otevření PDF souboru sdíleného přes WhatsApp přímo v prohlížeči. Modul zůstává neaktivní, dokud se v interním úložišti rozšíření neaktivuje konkrétní feature flag („floodgate-add“).
Právě tahle relativně nová funkce se stala vstupní branou pro celý útočný řetězec. Guardio Labs zachytili zranitelnost jen čtyři hodiny poté, co Adobe danou funkci nasadilo aktualizací rozšíření, tedy nešlo o starou, dlouho přehlíženou chybu, ale o čerstvě vnesenou regresi.
Jak probíhal útok na Adobe Acrobat zranitelnost WhatsApp
Scénář, který Guardio popisují, je nápadně jednoduchý:
- Uživatel s nainstalovaným rozšířením a otevřeným WhatsApp Web navštíví útočníkovu stránku, vypadající jako běžný web z výsledků vyhledávání nebo marketingového e-mailu.
- Stránka načte skrytý iframe z interního HTML zdroje rozšíření. Tento zdroj je součástí rozšíření, ale problém je v tom, že si ho může do iframe vložit úplně jakákoliv webová stránka, bez ověření původu.
- Iframe posílá příkazy přes URL parametr, který se předává rovnou service workeru, tedy backendu rozšíření se všemi jeho oprávněními, aniž by se kontrolovalo, jestli příkaz skutečně pochází z legitimního Adobe content scriptu.
- Útočníkova stránka na pozadí otevře záložku s WhatsApp Web a získá její numerické ID (tab ID je předvídatelné).
- Engine Hermes pak na základě obdrženého ID manipuluje s DOM strukturou WhatsApp Web a vloží do ní podvržený formulář.
Guardio Labs to shrnují jako řetězec tří zranitelností dohromady umožňujících neautentizovaný, jednorázový, zero-click zápis do úložiště rozšíření z libovolné stránky.
Proč Adobe Acrobat zranitelnost WhatsApp funguje v posledním kroku
Nejzajímavější část celého řetězce je závěrečný trik, kterým se data skutečně dostanou ven z WhatsApp origin. Kombinují se v něm dvě samostatně neškodné vlastnosti webových specifikací:
Prvek <option> bez atributu value odešle jako svou hodnotu celý svůj textový obsah. Pokud se do něj vloží celé tělo aktuálně vykreslené stránky, odešle se jako hodnota formuláře úplně všechen viditelný text.
WhatsApp Web zároveň nemá ve své Content Security Policy nastavenou direktivu form-action. Podle specifikace to znamená, že formulář na stránce může odeslat požadavek na libovolnou cílovou adresu. WhatsApp Web tak sám, ze své vlastní domény, odešle POST požadavek s vlastním vykresleným obsahem na server pod kontrolou útočníka.
Výsledkem je, že útočník získá seznam chatů, jména kontaktů, náhledy zpráv, jméno profilu a viditelný text otevřené konverzace, a to celé v čitelném textu.
Proč je Adobe Acrobat zranitelnost WhatsApp horší, než jen čtení zpráv
Kromě samotné exfiltrace textu zmiňují některé zdroje i závažnější, méně pravděpodobný scénář: nahrazení QR kódu, který WhatsApp používá pro párování nového zařízení. Pokud by se útočníkovi podařilo tímto způsobem propašovat vlastní QR kód, mohl by teoreticky napárovat vlastní zařízení k účtu oběti a získat nad ním trvalou kontrolu, nejen jednorázový přístup k aktuálně otevřenému chatu.
Reakce Adobe na zranitelnost WhatsApp a role AI ve výzkumu
Adobe na nahlášení zareagovalo rychle. Zranitelnost potvrdilo, opravu vyvinulo a nasadilo během jediného víkendu, oficiální CVE bylo přiděleno až s několikadenním odstupem. Adobe běžně nevydává bezpečnostní bulletiny pro spotřebitelské produkty, v tomto případě ale zranitelnost otevřeně potvrdilo.
Guardio Labs zároveň otevřeně popisují, že tak rychlý nález a sestavení funkčního exploitu umožnil jejich AI-asistovaný výzkumný nástroj, který dokázal rozbalit a analyzovat stovky obfuskovaných JavaScript souborů a zmapovat komunikaci service workerů v řádu hodin místo týdnů. Sami to komentují slovy, že skladba drobných, samostatně nevinných chyb je skutečná hrozba: čím větší instalační základna, tím déle taková skladba zůstává neodhalená, protože pozornost bezpečnostní komunity směřuje spíš k dramatickým třídám zranitelností než k té „instalatérské“ práci uvnitř rozšíření.
Podle výzkumníků nebyly zaznamenány žádné indicie aktivního zneužití v praxi.
Co si z Adobe Acrobat zranitelnosti WhatsApp odnést
Zranitelnost je opravená ve verzi 26.5.2.3, která se uživatelům distribuuje automaticky. Přesto se vyplatí ručně zkontrolovat, jestli je nainstalovaná aktuální verze rozšíření.
Širší poučení je ale zajímavější než jedna konkrétní oprava. Prohlížečová rozšíření, která propojují webové stránky, privilegovaná rozhraní rozšíření a další služby třetích stran, jsou přesně ten typ software, kde se drobné, samy o sobě neškodné nedostatky mohou složit do plnohodnotného útoku. A rozšíření s tři sta miliony instalací je zajímavým cílem i tehdy, když jednotlivé komponenty samy o sobě vypadají jako naprosto obyčejná, nudná instalatérská práce.
Zdroje
Cybernews (Globalfleet.eu leak): https://cybernews.com/security/fleet-manager-data-leak-remote-vehicle-control/
The Hacker News (Adobe Acrobat / HermeticReader): https://thehackernews.com/2026/07/adobe-acrobat-extension-flaw-let.html
Guardio Labs (původní writeup HermeticReader): https://guard.io/labs/hermeticreader—the-vulnerability-that-turned-adobe-300m-install-extension-into-a-full-whatsapp-takeover
BleepingComputer: https://www.bleepingcomputer.com/news/security/adobe-chrome-extension-flaw-let-sites-access-private-whatsapp-chats/
SecurityWeek: https://www.securityweek.com/flaw-in-adobe-extension-with-300m-installs-enabled-whatsapp-data-theft/
SC Media (brief, zmínka o QR kódu): https://www.scworld.com/brief/adobe-acrobat-extension-vulnerability-allowed-whatsapp-data-theft
Security Affairs: https://securityaffairs.com/195805/hacking/adobe-acrobat-chrome-extension-bug-enabled-silent-whatsapp-data-theft.html
GBHackers: https://gbhackers.com/critical-adobe-acrobat-chrome-extension-flaw-hermeticreader-lets-hackers-hijack-whatsapp-chats-of-300m-users/
TechNadu: https://www.technadu.com/hermeticreader-flaw-cve-2026-48294-in-adobes-acrobat-extension-exposed-whatsapp-chats-to-any-website/631742/ Cybersecuritynews.com: https://cybersecuritynews.com/acrobat-extension-flaw-whatsapp-chats/
How2Shout: https://www.how2shout.com/news/adobe-acrobat-extension-whatsapp-vulnerability-hermeticreader.html
