Adobe Acrobat 扩展程序漏洞使攻击者能够窃取 3.29 亿用户的 WhatsApp 聊天记录

原创

ZM
ZM

暗镜

2026年7月25日 07:00
北京

在小说阅读器读本章

去阅读

Adobe Acrobat Chrome 扩展程序中新披露的一个漏洞允许攻击者悄无声息地从任何访问恶意网页的用户那里收集 WhatsApp Web 聊天记录、联系人和个人资料数据，无需点击、下载或窃取凭据。

Guardio Labs 的安全研究人员发现了这个漏洞，并将其命名为“HermeticReader”，正式编号为 CVE-2026-48294，CVSS 评分为 7.4。

该漏洞被归类为通用跨站脚本攻击(UXSS) 问题，它允许恶意网站绕过浏览器的同源策略，并读取与受害者在另一个标签页中的活动会话相关的数据。

攻击链始于受害者（已安装该扩展程序）访问攻击者控制的、伪装成普通网站的页面之时。此后，攻击会在几个静默的步骤中展开：

• 从扩展程序自身的网络可访问资源加载的隐藏 iframe 向扩展程序的后台服务工作线程发送伪造的消息，而后台服务工作线程永远不会验证发件人的真实身份。
• 这样一来，攻击者就可以将任意数据写入扩展程序的本地存储，从而启用一个隐藏的功能标志，激活 Adobe 休眠的 WhatsApp Web 集成引擎“Hermes”。
• 恶意页面随后会在后台标签页中悄悄打开 WhatsApp Web，并利用 Chrome 的顺序标签页编号系统来预测其数字标签页 ID。
• 攻击者利用该 ID 直接向在 WhatsApp 标签页上运行的 Hermes 内容脚本发送命令，从而操纵页面的 DOM。

最后一个技巧完全不需要执行恶意脚本。Guardio的研究人员发现，被入侵的引擎可以将一个隐藏表单注入到 WhatsApp Web 的页面中，然后利用合法的 DOM 操作将实时聊天内容物理地移动到该表单中。

由于表单的隐藏选项字段没有“value”属性，提交该字段会导致浏览器将页面聊天列表、联系人姓名、消息预览和打开的对话的全部渲染文本内容直接发送到攻击者的服务器。由于 WhatsApp Web 的内容安全策略缺乏表单操作限制，浏览器允许了这种跨域提交，而没有提出异议。泄露的内容仅限于屏幕上渲染的文本，而不是原始的加密消息有效载荷，但对于大多数用户来说，这种区别并不能带来多少安慰，可见的聊天内容才是秘密。Guardio 向 Adobe 的 PSIRT 报告了该问题，该公司行动异常迅速：该缺陷在一个周末内被确认、修复并在 26.5.2.3 版本中发布，几天后正式分配了 CVE 编号。