L’integrazione di Adobe Acrobat in WhatsApp Web e Windows introduce novità per i PDF, ma una vulnerabilità poteva esporre dati. Adobe ha rilasciato la patch.
L’integrazione di Adobe Acrobat all’interno delle versioni Web e Windows di WhatsApp ha introdotto un’esperienza di visualizzazione e gestione dei file PDF molto più diretta, portando tuttavia con sé una seria vulnerabilità di sicurezza.
Le novità nell’esperienza d’uso e nella gestione dei PDF
I documenti inviati nelle chat possono ora essere consultati e gestiti senza doverli scaricare prima sul computer né passare a un’altra app. WhatsApp sfrutta il motore di Adobe Acrobat per generare l’anteprima, preservando integralmente la formattazione originale, i font e la resa visiva dei layout più complessi, oltre a supportare la consultazione a schermo intero, lo zoom, la navigazione tra le pagine e l’apertura dei file protetti da password, previa inserimento delle credenziali. Tutto questo avviene all’interno del flusso di chat, mantenendo intatta la protezione della crittografia end-to-end.
Oltre alla semplice lettura, la piattaforma mette a disposizione strumenti di annotazione grafica e testuale come evidenziature, tratti a mano libera e barrature. Se si preferisce un intervento più approfondito, il pulsante per la modifica in Acrobat reindirizza direttamente all’app Adobe per modificare i testi, riorganizzare la struttura del file, applicare firme digitali o impostare ulteriori password. I titolari di un abbonamento Acrobat possono inoltre beneficiare delle funzionalità di Acrobat AI Assistant per richiedere sintesi intelligenti del testo o porre domande sul contenuto del documento. L’aggiornamento è attivo globalmente sia sull’interfaccia browser che sull’app per Windows.
La falla di sicurezza e le sue dinamiche
Nonostante la comodità della funzione, i ricercatori di sicurezza di Guardio hanno individuato un grave problema di sicurezza rinominato HermeticReader (catalogato con il codice CVE-2026-48294). La falla riguarda la versione per browser WhatsApp Web e scaturisce da una combinazione di tre vulnerabilità presenti nell’estensione Chrome di Adobe Acrobat.
L’attacco consentiva a un cybercriminale di sottrarre dati personali o accedere all’account della vittima semplicemente attirandola su una pagina web malevola appositamente strutturata, veicolata tramite e-mail o link su piattaforme social. L’exploit sfrutta l’architettura dell’estensione Adobe, che permette a siti terzi di camuffare comandi arbitrari spacciandoli per comunicazioni interne. Approfittando dell’ID identificativo del browser, il sito malevolo intercetta la scheda di WhatsApp Web e invia istruzioni al componente ponte chiamato Hermes, che una volta svegliato per elaborare il PDF, finisce per manipolare direttamente il Document Object Model (DOM) dell’applicazione web. La falla risiede nel fatto che una risorsa HTML dell’estensione può essere annidata via iframe in una qualunque pagina online e ricevere parametri dall’URL inviandoli al processo in background con permessi elevati, privo di opportuni controlli sulla legittimità della fonte.
I rischi dimostrati da Guardio includevano:
- Esfiltrazione di dati sensibili: trasferimento a un server remoto di elenchi conversazioni, identità e nomi dei contatti, nomi profilo e testo integrale dei messaggi inviati e ricevuti.
- Dirottamento dell’account: sostituzione dinamica del codice QR mostrato a schermo per l’associazione di nuovi dispositivi con uno manipolato che, se scansionato dalla vittima, avrebbe concesso agli attaccanti il controllo dell’account.
Fortunatamente, Adobe è intervenuta tempestivamente correggendo la vulnerabilità prima che venissero registrati attacchi effettivi contro gli utenti. Il problema interessava le release fino alla versione 26.5.2.1 dell’estensione per Chrome, ed è stato definitivamente risolto con l’aggiornamento 26.5.2.3, già distribuito in maniera automatica attraverso il Chrome Web Store.
