Adobe hat eine Schwachstelle in der offiziellen Adobe-Acrobat-Erweiterung für Chrome geschlossen, durch die Angreifer Inhalte aus WhatsApp Web auslesen konnten. Sicherheitsforscher von Guardio nennen den Angriff HermeticReader und ordnen ihn der Kennung CVE-2026-48294 zu. Besonders brisant ist die Kombination aus enormer Verbreitung und geringem Aufwand: Die Erweiterung ist auf mehr als 300 Millionen Browsern installiert, und für den Angriff genügte der Besuch einer manipulierten Webseite. Die Lücke betrifft damit direkt die Sicherheit von Chrome-Erweiterungen, weil eine vertrauenswürdige Marke, Browser-Berechtigungen und WhatsApp-Web-Inhalte in einer einzigen Angriffskette zusammenliefen.
| Punkt | HermeticReader / CVE-2026-48294 | Einordnung |
|---|---|---|
| Betroffene Software | Adobe Acrobat PDF Extension für Chrome | Sehr verbreitete Erweiterung |
| Installationsbasis | Mehr als 300 Millionen Installationen | Hohe Reichweite macht den Fehler kritisch |
| Angriffsziel | WhatsApp Web | Private Kommunikation im Browser |
| Angriffsaufwand | Besuch einer manipulierten Webseite genügte | Kein Passwort-Phishing nötig |
| Auslesbare Daten | Chatliste, Kontakte, Nachrichten, Profilname und sichtbare Unterhaltung | Nur bereits gerenderte Inhalte betroffen |
| CVSS | 7.4 High | Hohes Risiko für Vertraulichkeit |
| Betroffene Versionen | Bis einschließlich 26.5.2.2 laut NVD | Alte Versionen prüfen |
| Fix | 26.5.2.3 laut Sicherheitsberichten | Update sollte automatisch kommen |
| Aktive Ausnutzung | Keine Hinweise laut Forscherangaben | Trotzdem Update-Kontrolle sinnvoll |
Guardio meldet Angriffskette in Adobes WhatsApp-Integration
Guardio Labs fand die Schwachstelle kurz nach einer neuen Version der Adobe-Erweiterung, mit der Adobe Acrobat-Funktionen direkt in WhatsApp Web einband. Adobe bewirbt diese Integration als PDF-Workflow im Chat: Nutzer können PDF-Dateien in WhatsApp Web und Windows öffnen, ansehen, markieren und über Acrobat-Werkzeuge weiterbearbeiten. Genau diese neue Verbindung zwischen PDF-Funktionen und WhatsApp Web schuf den riskanten Angriffspfad.
Der Kern des Problems lag laut Guardio in einem internen Integrationsmotor der Erweiterung. Dieser Motor, von den Forschern als Hermes beschrieben, sollte eigentlich Acrobat-Funktionen für WhatsApp Web bereitstellen. Die Forscher fanden jedoch mehrere unzureichend geschützte Übergänge zwischen Webseite, Erweiterungsressourcen, Service Worker und WhatsApp-Tab. Eine beliebige Angreiferseite konnte dadurch interne Erweiterungsnachrichten auslösen und den eigentlich privilegierten Ablauf gegen WhatsApp Web lenken.
Der Angriff war aus Nutzersicht auffällig unspektakulär. Es musste keine Schadsoftware installiert werden. Es war kein Passwortdiebstahl nötig. Auch ein gestohlener WhatsApp-Session-Cookie war nicht erforderlich. Nach Darstellung der Forscher reichte es, wenn ein Nutzer mit installierter Adobe-Acrobat-Erweiterung eine präparierte Webseite öffnete. Die manipulierte Seite konnte dann WhatsApp Web im Hintergrund ansprechen und gerenderte Inhalte auslesen.
Das erklärt die hohe Relevanz der Meldung. Viele Nutzer behandeln offizielle Erweiterungen großer Hersteller als unproblematisch. Browser-Erweiterungen laufen aber mit besonderen Rechten und können je nach Berechtigungsmodell tief in Webseiten, Tabs, Speicher und Schnittstellen eingreifen. Der Fall passt deshalb zur breiteren Debatte rund um Chrome Manifest V2 und die Prüfung alter Erweiterungen: Erweiterungen sind keine kleinen Komfortmodule, sondern zusätzlicher Code mit Zugriff auf sensible Browserbereiche.
Guardio beschreibt vor allem den Verlust bereits sichtbarer WhatsApp-Web-Daten. Dazu gehörten nicht automatisch alle jemals gesendeten Nachrichten, sondern Inhalte, die WhatsApp Web im Browser geladen und gerendert hatte. Trotzdem kann schon dieser Ausschnitt sehr sensibel sein, weil Chatlisten, Kontaktnamen, Nachrichtenvorschauen, Profilinformationen und offene Unterhaltungen Rückschlüsse auf private, berufliche oder rechtliche Kommunikation erlauben.
Die Datenarten im beschriebenen Szenario waren besonders kritisch:
- Chatliste: Angreifer konnten sehen, mit welchen Kontakten oder Gruppen kommuniziert wurde.
- Kontaktnamen: Namen aus WhatsApp Web konnten in den Abfluss gelangen.
- Nachrichtenvorschauen: Bereits sichtbare Textinhalte konnten übertragen werden.
- Profilname: Informationen zum angemeldeten WhatsApp-Konto waren betroffen.
- Offene Unterhaltung: Der sichtbare Text des geöffneten Gesprächs konnte ausgelesen werden.
Ein zweites, schwereres Szenario betraf laut Berichten die Übernahme eines WhatsApp-Kontos über einen manipulierten Kopplungsprozess. Dafür hätte das Opfer aber aktiv einen ersetzten QR-Code scannen müssen. Dieser Schritt macht den Angriff deutlich weniger reibungslos als das reine Auslesen gerenderter Chatdaten.
Adobe hat CVE-2026-48294 geschlossen, Nutzer sollten Version 26.5.2.3 prüfen
Adobe reagierte nach Darstellung der Forscher schnell. Guardio schreibt, Adobe habe den Fehler bestätigt und die Korrektur über ein Wochenende ausgeliefert. Adobe führt den Fund auf der offiziellen Acknowledgments-Seite mit CVE-2026-48294 und Shaked Biner von Guardio auf. Eine klassische große Sicherheitsmeldung für Verbraucherprodukte gab es offenbar nicht, die CVE ist aber über Adobe und NVD öffentlich dokumentiert.
Die NVD beschreibt die Schwachstelle als UXSS-class cross-origin data disclosure vulnerability. Vereinfacht gesagt konnte die Erweiterung durch eine manipulierte Webseite dazu gebracht werden, Schutzgrenzen zwischen Webseiten zu durchbrechen und sitzungsgebundene Daten aus einem anderen Kontext auszulesen. Der CVSS-Wert liegt bei 7.4 und damit im Bereich „High“. Die Vertraulichkeit ist hoch betroffen, Integrität und Verfügbarkeit laut CVSS-Vektor nicht.
Betroffen waren laut NVD Versionen der Adobe Acrobat PDF Extension für Chrome bis einschließlich 26.5.2.2. Sicherheitsberichte nennen 26.5.2.3 als korrigierte Version. Chrome-Erweiterungen aktualisieren sich in der Regel automatisch. Dennoch sollten Nutzer die Version manuell prüfen, weil Chrome-Profile, verwaltete Unternehmensgeräte, angehaltene Browserprozesse oder Richtlinien automatische Updates verzögern können.
Eine kurze Prüfung reicht in vielen Fällen aus:
- Chrome-Erweiterungen öffnen: In Chrome `chrome://extensions` aufrufen.
- Entwicklermodus aktivieren: Danach wird die installierte Versionsnummer sichtbar.
- Adobe Acrobat suchen: Die Erweiterung muss mindestens Version 26.5.2.3 haben.
- Update anstoßen: Über „Aktualisieren“ lassen sich verfügbare Erweiterungsupdates abrufen.
- Nicht benötigte Erweiterungen entfernen: Wer Acrobat im Browser nicht nutzt, kann die Erweiterung deaktivieren oder löschen.
Für Unternehmen ist der Fall noch wichtiger. Die Adobe-Erweiterung kommt häufig über Acrobat-Installationen, Standardimages, Richtlinien oder Nutzerinstallationen auf Geräte. Admins sollten nicht nur Chrome prüfen, sondern auch Edge und andere Chromium-basierte Browser im Blick behalten, falls die Erweiterung dort verteilt wurde. Entscheidend ist, ob verwaltete Browser die korrigierte Version wirklich erhalten haben.
Auch WhatsApp-Nutzer sollten die Gefahr richtig einordnen. Die Lücke lag nicht in WhatsApp selbst. BleepingComputer verweist ausdrücklich darauf, dass kein WhatsApp-Zero-Day nötig war. WhatsApp Web wurde aber als Ziel genutzt, weil private Kommunikation im Browser gerendert war und die Adobe-Erweiterung genug Zugriff auf den Browserkontext bekam. Das macht den Fall zu einem Beispiel für Angriffe über Zusammensetzung: Eine PDF-Erweiterung, eine Chat-Webapp und Browserrechte ergeben zusammen ein Risiko, das jeder einzelne Baustein allein nicht vollständig zeigt.
Der Kontext erinnert an frühere Browser-Sicherheitsmeldungen. Bei Helium Browser 0.14.7.1 mit aktualisierter Chromium-Basis stand die Frage im Mittelpunkt, wie schnell Browser-Forks Sicherheitsupdates übernehmen. Bei HermeticReader geht es um die zweite Schicht darüber: Selbst ein aktueller Browser bleibt angreifbar, wenn eine stark verbreitete Erweiterung fehlerhafte Integrationslogik mitbringt.
Der Fall zeigt außerdem, warum Chrome-Nutzer ihre Erweiterungen regelmäßig ausmisten sollten. Eine Erweiterung für PDF-Komfort klingt harmlos, kann aber technisch mit Tabs, Webseiten, Speicher und eingebetteten Diensten arbeiten. Wer viele Erweiterungen installiert, vergrößert die Angriffsfläche unabhängig davon, wie aktuell Chrome selbst ist. Der Artikel zu Chrome 150 mit 27 Sicherheitsfixes zeigte bereits, wie schnell Browser-Schwachstellen geschlossen werden müssen. Erweiterungen brauchen dieselbe Aufmerksamkeit.
Für Nutzer ergibt sich daraus eine einfache Linie: Adobe Acrobat für Chrome auf Version 26.5.2.3 oder neuer prüfen, WhatsApp Web nach ungewöhnlichen Sitzungen kontrollieren und nicht benötigte Erweiterungen entfernen. Guardio meldete keine Hinweise auf aktive Ausnutzung, und Adobe hat die Schwachstelle geschlossen. Die eigentliche Lehre bleibt aber größer als dieser Einzelfall: Browser-Erweiterungen mit großer Reichweite müssen so kritisch behandelt werden wie eigenständige Software, weil ein Fehler Millionen Nutzer gleichzeitig treffen kann.