Guardio: פרצה בהרחבת Adobe Acrobat ל-Chrome חשפה שיחות WhatsApp Web
Guardio Labs חושפת את HermeticReader: דף זדוני יכול היה לנצל את ההרחבה של Adobe Acrobat ולקרוא את שיחות WhatsApp Web של הגולש. Adobe תיקנה ביוני, ולהרחבה מעל 300 מיליון התקנות.
TL;DR בקצרה
- ב-22 ביולי 2026 פרסמה Guardio Labs את HermeticReader, פרצה בהרחבת Adobe Acrobat ל-Chrome שמסומנת כ-CVE-2026-48294.
- מספיק לבקר בדף זדוני: ההרחבה מאפשרת לו לקרוא את הטקסט שמופיע בלשונית WhatsApp Web, כולל שיחות, אנשי קשר ופרטי חשבון.
- לפי NVD, הפרצה חלה על גרסאות 26.5.2.2 ומטה. Adobe תיקנה אותה תוך ימים ספורים מהדיווח, ביוני 2026.
- אין בדיווחים שנבדקו עדות לניצול בפועל. מומלץ לוודא שהגרסה המותקנת מאוחרת מ-26.5.2.2.
חוקרי Guardio Labs פרסמו ב-22 ביולי 2026 את HermeticReader, פרצה בהרחבת Adobe Acrobat ל-Chrome שאפשרה לדף זדוני לקרוא שיחות WhatsApp Web. להרחבה יש מעל 300 מיליון התקנות. Adobe סגרה את הפרצה כבר ביוני, ולכן מי שמריץ את הגרסה המתוקנת מוגן.
הקורבן רק צריך לבקר בדף הזדוני. אין צורך בחולשה ב-WhatsApp, בנוזקה, בסיסמה גנובה או בגישה למחשב. לפי SecurityWeek, הפרצה הזו קיבלה את המזהה CVE-2026-48294.
איך HermeticReader עובד: מדף זדוני לשיחות פרטיות
ב-30 באפריל הכריזה Adobe על אינטגרציה בין ההרחבה ל-WhatsApp Web. הרכיב שמפעיל אותה, Hermes, היה רדום. HermeticReader מעיר אותו בכמה צעדים.
בשלב הראשון, הדף הזדוני מטמיע דפים פנימיים של ההרחבה במסגרת סמויה. הדפים האלה פתוחים לכל כתובת, ולכן כל אתר יכול לעשות את זה. אחר כך הוא מעביר הודעות לרכיב הרקע של ההרחבה. הרכיב לא בודק מי שלח אותן, ומאפשר לכתוב מפתחות כרצונו באחסון המקומי.
התוקף מדליק כך דגל שמפעיל את האינטגרציה. בדיקת כתובת פגומה ומזהי לשוניות שאפשר לנחש מסייעים לו לאתר את לשונית WhatsApp Web. אז הוא משתמש בפקודות של האינטגרציה. הן מצרפות את גוף דף WhatsApp לטופס ומעבירות אותו לשרת של התוקף.
WhatsApp חוסמת הרצת סקריפטים בדף שלה. לכן ההתקפה לא מריצה קוד שם. היא משנה את מבנה הדף ושואבת ממנו טקסט.
Adobe מגדירה את הפרצה כחשיפת נתונים בין אתרים מסוג UXSS. בדרך כלל הדפדפן מונע מאתר אחד לקרוא נתונים של אתר אחר. הפרצה עוקפת את ההגנה הזו דרך ההרחבה.
איזה מידע היה בסכנה, ומה לא
התוקף יכול היה לקבל את הטקסט שמופיע בדף WhatsApp Web. זה כולל את רשימת השיחות, שמות אנשי הקשר, תצוגות מקדימות של הודעות ושם הפרופיל. זה כולל גם את הטקסט הגלוי בשיחה הפתוחה. אלה לא נתונים גולמיים כמו עוגיות כניסה.
Guardio מעריכה שהשרשרת יכולה ללכוד גם קודי אימות חד-פעמיים שמופיעים ב-WhatsApp. היא מוסיפה שהחלפת קוד QR יכולה לאפשר השתלטות על חשבון באמצעות קישור מכשיר.
ציר הזמן קצר. ב-3 ביוני יצאה גרסה 26.5.2.1, ו-Guardio מצאה את מסלול התקיפה תוך שעות. היא דיווחה ל-Adobe, וזו סגרה את הפרצה תוך ימים ספורים. ב-NVD רשום CVE-2026-48294 מ-17 ביוני, עם ציון 7.4. הוא חל על גרסאות 26.5.2.2 ומטה, ומחייב שהגולש יבקר בדף זדוני.
מה זה אומר עבורכם
- בדקו את הגרסה: היכנסו ל-chrome://extensions וודאו שגרסת Adobe Acrobat מאוחרת מ-26.5.2.2. לפי NVD, גרסאות עד 26.5.2.2 היו חשופות.
- סננו הרחבות: הרחבה שפועלת בכל אתר מקבלת כוח רב. הסירו הרחבות שאינכם משתמשים בהן.
- אל תשאירו לשונית פתוחה: ההתקפה צריכה לאתר לשונית WhatsApp Web פתוחה. סגרו אותה כשאינכם משתמשים בה.
- מחקו קודי אימות: קודים חד-פעמיים שמופיעים בשיחה אפשר היה לשאוב. מחקו אותם אחרי השימוש.
- בארגון: ודאו שהגרסה המתוקנת הופצה לכל הדפדפנים המנוהלים. בדקו גם הרחבות נפוצות אחרות עם הרשאה לכל הכתובות.
מה הלאה אחרי HermeticReader
Guardio לא טוענת שאתרים אחרים פגיעים. אבל שתי נקודות הכניסה אינן ייחודיות ל-WhatsApp. כל אתר יכול להטמיע את דפי ההרחבה, וכל הודעה יכולה לכתוב לאחסון שלה.
בדיווחים שנבדקו אין עדות לניצול בפועל. עדיין, כשהרחבה עם מאות מיליוני התקנות משתנה, כדאי לבדוק איך היא מתנהגת בלשוניות רגישות.
מקורות והרחבה
- "HermeticReader", The Vulnerability That Turned Adobe's 300M-Install Extension Into a Full WhatsApp TakeoverGuardio Labs
- Flaw in Adobe Extension With 300M Installs Enabled WhatsApp Data TheftSecurityWeek
- CVE-2026-48294NVD
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
