Adobe Acrobat poteva leggere le chat di WhatsApp Web su Chrome
Ricercatori di sicurezza hanno scoperto che l'estensione Adobe Acrobat per Chrome poteva consentire a un sito malevolo di accedere ai contenuti visualizzati in una sessione WhatsApp Web attiva, per chi l'aveva installata. Adobe ha già rilasciato una correzione, distribuita automaticamente. In questa guida spiego come funzionava l'attacco, come verificare di essere al sicuro e cosa fare se hai dubbi.
In breve
La vulnerabilità, chiamata HermeticReader e tracciata come CVE-2026-48294, riguardava l'estensione Adobe Acrobat per Chrome, installata su oltre 300 milioni di browser. Bastava avere l'estensione attiva nella versione vulnerabile, WhatsApp Web aperto in un'altra scheda, e visitare una pagina web costruita apposta, perché un attaccante potesse accedere a chat, contatti e nome profilo — senza phishing, senza password rubate, senza download. Adobe ha corretto il problema nel giro di un weekend dalla segnalazione, e l'aggiornamento si installa da solo. Non risultano, al momento, casi di sfruttamento reale della falla prima della correzione.
- Fonte primaria dell'attribuzione: Guardio Labs, la società di ricerca in sicurezza che ha scoperto e reso pubblica la vulnerabilità, tramite report condiviso con testate tecniche specializzate.
- Fonte ufficiale per la versione vulnerabile: scheda NVD di CVE-2026-48294, che conferma le versioni 26.5.2.2 e precedenti come vulnerabili. Il record NVD non riportava, al momento della pubblicazione di questo articolo, un link diretto al bollettino di sicurezza Adobe: per la versione più aggiornata dell'estensione fai riferimento alla scheda ufficiale sul Chrome Web Store.
- Fonti secondarie consultate: BleepingComputer, The Hacker News, SecurityWeek, TechRadar e Security Affairs, per verificare la coerenza dei dettagli tecnici riportati da più testate indipendenti.
- Discrepanza riscontrata: le fonti riportano numeri di versione della patch leggermente diversi tra loro (alcune indicano 26.5.2.3, altre 26.7.2.0), e stime del numero di browser coinvolti che vanno da circa 314 a 329 milioni. Per questo motivo non indichiamo un singolo numero di versione "corretto" nel testo operativo: il criterio pratico resta verificare di avere una versione successiva alla 26.5.2.2, aggiornandola comunque all'ultima disponibile sul Chrome Web Store.
- Non ho testato personalmente l'exploit descritto in questa guida, né ho riprodotto l'attacco: le informazioni tecniche derivano dai report pubblicati dai ricercatori e dalla copertura giornalistica verificata.
- Ultima verifica dell'articolo: 25 luglio 2026.
- Trasparenza: questo articolo è informativo. Eventuali consigli o link commerciali saranno sempre indicati in modo trasparente.
È lo stesso tipo di rischio silenzioso che ho già raccontato con Rokarolla su Android: non serve installare qualcosa di sospetto, basta che un software già presente sul dispositivo — in questo caso un'estensione notissima e legittima — abbia una falla che qualcun altro può sfruttare. La differenza qui è che l'estensione coinvolta, Adobe Acrobat per Chrome, è probabilmente già installata sul tuo browser: vale la pena capire cosa è successo e verificare di essere al sicuro.
- Cos'è HermeticReader e come funzionava l'attacco
- Perché il bersaglio era proprio WhatsApp Web
- Chi era davvero a rischio: le tre condizioni
- Come verificare di essere protetto
- Cosa poteva vedere davvero un attaccante
- Cosa fare se hai dubbi di essere stato colpito
- Falsi miti ed errori da non commettere
- Cosa sappiamo e cosa non sappiamo
- Cosa significa per un utente italiano
- Domande frequenti
Cos'è HermeticReader e come funzionava l'attacco
I ricercatori di Guardio Labs hanno individuato la falla, ufficialmente catalogata come CVE-2026-48294 (punteggio CVSS 7.4) e soprannominata "HermeticReader", pochi giorni dopo che Adobe aveva rilasciato una versione aggiornata della propria estensione Acrobat per Chrome, il 3 giugno 2026. Secondo il racconto del ricercatore che l'ha scoperta, l'analisi è partita da uno strumento interno che confronta automaticamente le versioni successive di un'estensione, individuando i punti di codice cambiati che potrebbero introdurre nuove superfici d'attacco — un metodo di ricerca, non l'exploit in sé.
Il problema tecnico, descritto dai ricercatori come una vulnerabilità di tipo "UXSS" (universal cross-site scripting), riguardava il modo in cui l'estensione gestiva la comunicazione interna tra le proprie componenti. In pratica, una pagina web qualsiasi poteva mascherare comandi come se provenissero dall'estensione stessa, e usarli per attivare una funzione interna chiamata "Hermes" — pensata originariamente per aprire i PDF condivisi nelle chat di WhatsApp Web direttamente dal browser.
Questa parte è per chi vuole il dettaglio tecnico più fine. Se vuoi solo sapere come proteggerti, puoi saltarla e andare alla sezione sulla verifica più sotto.
Perché il bersaglio era proprio WhatsApp Web
Adobe Acrobat non è un'estensione pensata per WhatsApp: è un lettore e editor di PDF, con integrazioni verso servizi come Google Drive. L'integrazione con WhatsApp Web, più recente, serve a permettere di aprire direttamente nel visualizzatore Acrobat i PDF condivisi in chat, senza doverli scaricare separatamente. È proprio questa funzione aggiuntiva — utile, ma con privilegi elevati sul contenuto della pagina — ad aver introdotto la superficie d'attacco che i ricercatori hanno sfruttato.
Il motore Hermes dell'estensione resta normalmente inattivo, in attesa di essere richiamato quando serve aprire un PDF da una chat. La falla permetteva a un sito esterno di "svegliarlo" senza permesso e usarlo come ponte verso la scheda di WhatsApp Web aperta a fianco, leggendone il contenuto renderizzato come se fosse l'estensione stessa a farlo.
Chi era davvero a rischio: le tre condizioni
Secondo tutte le fonti consultate, l'attacco funzionava solo se si verificavano contemporaneamente tre condizioni. Se anche solo una mancava, la falla non era sfruttabile.
Chi usa WhatsApp solo da smartphone, senza mai aprire la versione Web sul computer, non era esposto a questo specifico rischio, indipendentemente dall'estensione installata sul browser.
Come verificare di essere protetto
Se hai una versione 26.5.2.2 o precedente, è vulnerabile. La buona notizia è che l'aggiornamento correttivo si installa automaticamente per la maggior parte degli utenti. Vale comunque la pena controllare manualmente, per sicurezza.
- Apri Chrome e digita
chrome://extensionsnella barra degli indirizzi, poi premi Invio. (Su altri browser Chromium apri la relativa pagina "Gestisci estensioni" dal menu del browser.) - Trova "Adobe Acrobat: PDF edit, convert, sign tools" nell'elenco delle estensioni installate.
- Attiva la "Modalità sviluppatore" (interruttore in alto a destra nella pagina delle estensioni) per vedere il numero di versione esatto sotto il nome dell'estensione.
- Aggiorna l'estensione all'ultima versione disponibile dal Chrome Web Store se il numero risulta 26.5.2.2 o precedente, cliccando sull'icona di aggiornamento (in alto a sinistra nella pagina delle estensioni).
Se non usi mai i PDF condivisi su WhatsApp Web e non hai bisogno dell'estensione, la soluzione più semplice resta comunque disinstallarla del tutto: meno estensioni installate significa meno superficie d'attacco potenziale, a prescindere da questa specifica vulnerabilità.
Cosa poteva vedere davvero un attaccante
Secondo i report tecnici pubblicati, un attaccante che avesse sfruttato la falla poteva accedere a conversazioni, elenco dei contatti, nome del profilo e anteprime dei messaggi visualizzati nella sessione, tutto in chiaro. Alcune fonti sottolineano anche la possibilità teorica di intercettare codici monouso (OTP) inviati via WhatsApp da servizi terzi che li usano come canale di verifica.
Un elemento rassicurante da tenere presente: Nati Tal, ricercatore principale di Guardio Labs, ha dichiarato a BleepingComputer di non aver riscontrato alcuna indicazione di sfruttamento attivo della vulnerabilità prima della correzione — il team ha individuato la falla appena quattro ore dopo che Adobe l'aveva introdotta con un aggiornamento, riducendo drasticamente la finestra di esposizione teorica.
Cosa fare se hai dubbi di essere stato colpito
Vista l'assenza di prove di sfruttamento attivo prima della patch, per la stragrande maggioranza degli utenti non c'è nulla di specifico da fare oltre ad aggiornare l'estensione. Va detto con chiarezza però: non esiste un controllo in WhatsApp che consenta di stabilire retroattivamente se questa vulnerabilità sia stata sfruttata nel tuo caso specifico. L'attaccante non aggiungeva un nuovo dispositivo collegato all'account — sfruttava i privilegi dell'estensione sulla scheda già aperta nel browser, un meccanismo che non lascia traccia visibile nell'app WhatsApp.
Ho già spiegato altrove come capire se un dispositivo è stato compromesso: gli stessi segnali indiretti generali possono aiutare, anche se non sono specifici per questo caso.
Falsi miti ed errori da non commettere
- "Devo disinstallare WhatsApp" — no, il problema non è mai stato nell'app WhatsApp in sé, ma in un'estensione di terze parti installata sul browser.
- "Il problema riguarda solo Chrome" — riguarda qualsiasi browser basato su Chromium con l'estensione installata: anche Edge, Brave e Opera erano potenzialmente coinvolti.
- "Se non vedo dispositivi sconosciuti collegati, non è successo nulla" — non è un controllo affidabile per questo specifico attacco: l'assenza di segnali non dimostra che l'attacco non sia avvenuto. L'aggiornamento impedisce lo sfruttamento futuro della vulnerabilità, ma non fornisce una prova retroattiva.
- "Basta chiudere la scheda di WhatsApp Web quando non la uso" — è comunque una buona abitudine generale, ma non è la contromisura specifica: la correzione della falla stessa è quella che elimina il rischio alla radice.
Cosa sappiamo e cosa non sappiamo
Cosa significa per un utente italiano
Non risultano dati pubblici che permettano di quantificare quanti utenti italiani avessero la versione vulnerabile installata. Vista però la diffusione globale di Chrome, di WhatsApp Web e dell'estensione Acrobat, il problema era rilevante anche per chi utilizza questi strumenti in Italia — indipendentemente dall'assenza di statistiche geografiche specifiche.
Il consiglio pratico resta lo stesso indipendentemente dalla nazionalità: verifica la versione dell'estensione, e se lavori spesso con PDF condivisi su WhatsApp Web da ufficio o studio professionale, vale la pena controllare anche sui computer aziendali o condivisi, dove gli aggiornamenti automatici delle estensioni possono essere gestiti in modo centralizzato (ad esempio tramite policy Google Workspace o Endpoint Manager) e quindi arrivare con ritardo rispetto a un dispositivo personale.
- National Vulnerability Database (NVD) — scheda ufficiale di CVE-2026-48294
- BleepingComputer — ricostruzione tecnica della catena di exploit e dichiarazioni di Guardio Labs
- The Hacker News — dettagli sul CVE e sulla classificazione della vulnerabilità
- SecurityWeek — copertura indipendente con dettagli sul meccanismo Hermes
Domande frequenti
Le falle nelle estensioni del browser sono uno dei rischi meno visibili ma più concreti della vita digitale quotidiana. Segui ScelgoIo per non perdere gli aggiornamenti su vulnerabilità reali e come proteggerti, senza allarmismo.
E tu: controlli mai manualmente le estensioni installate sul browser, o ti affidi solo agli aggiornamenti automatici? Scrivilo nei commenti.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
