Une faille dans l’extension Adobe Acrobat pour Chrome permettait à un site malveillant d’accéder à des informations et des messages de sessions WhatsApp Web. Adobe a corrigé le problème, et aucune trace d’exploitation active n’a été relevée.
Le danger ne venait pas de la messagerie, mais de l’extension chargée d’y ouvrir les PDF. Des chercheurs de Guardio ont découvert qu’un site malveillant pouvait détourner les privilèges d’Adobe Acrobat pour Chrome afin de lire le contenu chargé dans WhatsApp Web, sans mot de passe ni interaction supplémentaire. Baptisée HermeticReader et suivie sous la référence CVE-2026-48294, la vulnérabilité touchait les versions 26.5.2.2 et antérieures de l’extension. Adobe l’a corrigée dans la version 26.5.2.3, diffusée automatiquement aux utilisateurs et utilisatrices.
Une extension légitime détournée pour espionner WhatsApp Web
Dans le détail, CVE-2026-48294 (CVSS 7.4) ne reposait pas sur une faille unique, mais sur l’enchaînement de plusieurs vulnérabilités. Pour l’exploiter, un attaquant devait attirer sur un site qu’il contrôlait une personne ayant installé l’extension Adobe Acrobat et dont le compte était déjà connecté à WhatsApp Web dans Chrome.
Plusieurs défauts de vérification permettaient alors au site de faire passer ses propres commandes pour des instructions internes à l’extension. Il pouvait ainsi activer le module chargé des interactions avec WhatsApp Web, ouvrir la messagerie dans un nouvel onglet, puis détourner les autorisations d’Adobe Acrobat pour manipuler le contenu affiché dans cet onglet.
Les chercheurs sont ainsi parvenus à récupérer les noms des contacts, les aperçus des discussions, le nom du profil et le texte de la conversation ouverte. L’exploitation ne donnait pas immédiatement accès à l’intégralité de l’historique, mais pouvait être répétée à mesure que de nouveaux contenus étaient affichés.
Une autre variante permettait de remplacer le QR code d’association d’un appareil afin de tenter de connecter au compte WhatsApp une session contrôlée par l’attaquant. Elle nécessitait toutefois que la victime scanne elle-même le code falsifié.
Un correctif publié en l'espace d'un weekend
Guardio indique avoir détecté le problème quelques heures après la publication de la version 26.5.2.1 de l’extension, qui introduisait la nouvelle intégration avec WhatsApp Web. Les chercheurs ont ensuite transmis à Adobe une démonstration complète de la chaîne d’exploitation. L’éditeur a reconnu la vulnérabilité, préparé un correctif et diffusé la version corrigée en l’espace d’un week-end.
Guardio affirme n’avoir relevé aucun signe d’exploitation active. Les utilisateurs et utilisatrices doivent malgré tout vérifier que l’extension Adobe Acrobat pour Chrome est passée en version 26.5.2.3 ou ultérieure, compte tenu de sa présence sur plus de 300 millions de navigateurs.
