Ako na svom Chrome pregledniku koristite popularnu Adobeovu ekstenziju za rad s PDF datotekama i pritom komunicirate putem WhatsApp Weba, postoji potencijalna sigurnosna ranjivost koje biste trebali biti svjesni. Srećom, problem je već riješen, no ovaj slučaj služi kao odličan podsjetnik na rizike koji se kriju iza naizgled bezazlenih dodataka za preglednike.

Naime, sigurnosni istraživači iz tvrtke Guardio Labs otkrili su takozvanu "univerzalnu cross-site scripting (UXSS) ranjivost", što je zapravo tehnički naziv za propust koji omogućava jednoj web stranici da čita sadržaj s druge, potpuno odvojene stranice otvorene u drugom tabu. U ovom slučaju, zlonamjerna stranica mogla je iskoristiti Adobeovu ekstenziju kako bi pristupila vašim privatnim WhatsApp razgovorima.

Ranjivost je pronađena u Adobe Acrobat Chrome ekstenziji i sada se vodi pod oznakom CVE-2026-48294. Dobila je ocjenu ozbiljnosti 7,4 od 10, što je svrstava u kategoriju visokog rizika, a pogađala je sve verzije zaključno s 26.5.2.2. Istraživači iz Guardio Labsa nazvali su je "HermeticReader" zbog specifičnog načina na koji je iskorištavala internu komponentu ekstenzije.

Gotovo uvredljivo jednostavan napad

Adobeova ekstenzija dolazi s nizom integracija za različite servise, kao što su Google Drive ili, u ovom slučaju, WhatsApp Web. Upravo je u komponenti za integraciju s WhatsAppom, interno poznatoj pod nazivom "Hermes", pronađen sporni propust. Scenarij napada bio je, kako su ga opisali sami istraživači, "gotovo uvredljivo jednostavan".

Napadač je trebao samo izraditi zlonamjernu web stranicu i navesti žrtvu da je posjeti, bilo putem e-maila, poruke, lažnih rezultata pretraživanja ili drugih metoda. Ako je korisnik ispunjavao tri uvjeta: imao instaliranu ranjivu verziju Adobe Acrobat ekstenzije, imao otvoren WhatsApp Web u drugom tabu i posjetio spomenutu zlonamjernu stranicu, napad je mogao uspjeti.

Posjetom stranici aktivirao bi se ranjivi dio koda unutar ekstenzije, koji bi potom napadačima omogućio pristup svemu što je korisniku u tom trenutku bilo vidljivo na WhatsApp Webu. To uključuje listu razgovora, imena kontakata, sadržaj poruka, ime profila, pa čak i tekst trenutno otvorene konverzacije. Neki izvori navode i kako su napadači na ovaj način mogli ukrasti jednokratne lozinke (OTP) koje se ponekad dostavljaju putem WhatsAppa.

"Posjetitelj, koji već ima instaliranu Adobe Acrobat ekstenziju, otvara tu stranicu. Stranica budi uspavani mehanizam unutar ekstenzije i izravno poseže u WhatsApp Web. Nekoliko sekundi kasnije, cjelokupni prikaz WhatsApp Weba nalazi se u rukama napadača", pojasnili su iz Guardio Labsa u svojoj analizi.

Rizik koji predstavljaju ekstenzije

Adobe je javno priznao postojanje problema i zahvalio istraživačima iz Guardio Labsa na pomoći. Propust je u međuvremenu ispravljen izdavanjem verzije 26.7.2.0, koja je sada dostupna za preuzimanje i trebala bi se automatski ažurirati kod većine korisnika. S obzirom na to da ovu ekstenziju koristi više od 314 milijuna ljudi, brzina reakcije bila je od ključne važnosti. Srećom, nema dokaza da je ova ranjivost bila aktivno iskorištavana prije nego što je zakrpana.

Ovaj incident ponovno naglašava sigurnosne rizike povezane s ekstenzijama za preglednike, čak i kada dolaze od pouzdanih tvrtki poput Adobea. Njihova velika privilegija i pristup sadržaju stranica koje posjećujemo čine ih atraktivnom metom za napadače. Ovo nije ni prvi put da je Adobeova ekstenzija imala problema; još 2017. godine otkrivena je ranjivost koja je omogućavala slične XSS napade.

Ciljanje komunikacijskih platformi putem ekstenzija rastući je trend. Primjerice, 2025. godine otkrivena je čak 131 različita Chrome ekstenzija dizajnirana za otimanje WhatsApp Web sesija u svrhu masovnog slanja neželjenih poruka. Zbog toga je važno redovito provjeravati i ažurirati instalirane ekstenzije te ukloniti sve one koje ne koristite ili ne dolaze iz provjerenih izvora.