Un clic en un enlace y tus chats de WhatsApp quedan expuestos. Gracias, Adobe Acrobat.

La extensión para ver archivos PDF, instalada en navegadores más de 300 millones de veces, resultó ser una vulnerabilidad que permitía leer conversaciones ajenas en WhatsApp Web —y para ello no se requería ni software malicioso ni robo de contraseñas.

Se trata de una vulnerabilidad en la extensión Adobe Acrobat para Chrome, que descubrió la empresa Guardio Labs y bautizó como HermeticReader. La vulnerabilidad recibió el identificador CVE-2026-48294 y una puntuación de 7,4 en la escala CVSS 3.1.

El problema afecta a todas las versiones de la extensión hasta la 26.5.2.2 inclusive y permite eludir la política de mismo origen en el navegador —el mecanismo que normalmente impide que un sitio lea datos de otro. Debido a esto un atacante puede acceder al contenido vinculado a la sesión del usuario en otra pestaña abierta.

Para el ataque bastaba con que una persona con la extensión instalada entrara en una página especialmente preparada —disfrazada como un resultado de búsqueda normal o un enlace de un boletín. La página activaba un mecanismo oculto en la extensión, encargado de la integración con WhatsApp, y lo habilitaba mediante una bandera especial. A continuación, abría en segundo plano WhatsApp Web sin que se notase y obtenía su identificador numérico para dirigir los comandos precisamente allí.

A continuación entraban en juego las particularidades de la propia página web de WhatsApp. La extensión insertaba en ella un formulario oculto, y uno de los elementos de la interfaz, al enviarse, transmitía el contenido de todo lo que estuviera dentro de él —es decir, prácticamente todo el texto visible de la página. Completaba el cuadro el hecho de que la política de seguridad de WhatsApp Web no prohibía el envío de formularios a direcciones arbitrarias. Como resultado, la propia página de WhatsApp enviaba los datos recopilados al servidor del atacante y luego mostraba lo que recibía en respuesta.

De este modo un tercero podía ver la lista de chats, los nombres de los contactos, las vistas previas breves de los mensajes, el nombre de perfil de la víctima y el texto del diálogo abierto en la pantalla. Se señala que para que la cadena se activara bastaba una única interacción del usuario con la página, sin condiciones adicionales.

Al momento de la publicación del informe, la vulnerabilidad ya estaba corregida en las nuevas versiones de la extensión. Los usuarios deben verificar que tienen instalada una versión posterior a la 26.5.2.2 y ser cautelosos al seguir enlaces en correos y en resultados de búsqueda, ya que exactamente ese método de entrega del ataque fue descrito por Guardio Labs.