Uma falha de segurança na extensão Adobe Acrobat para o Google Chrome permitia que qualquer site malicioso acedesse às conversas privadas de um utilizador no WhatsApp Web — sem qualquer palavra-passe, sem confirmação e sem que a vítima desse conta. A extensão Adobe Acrobat para Chrome podia ser utilizada para aceder a conversas e dados apresentados no WhatsApp Web sem qualquer forma de autenticação. A vulnerabilidade foi descoberta pelos investigadores da empresa de cibersegurança Guardio, que lhe atribuíram o nome HermeticReader, e já foi corrigida. Ainda assim, o incidente levanta questões sérias sobre a amplitude dos privilégios concedidos às extensões de browser e o risco que representam para a privacidade de centenas de milhões de utilizadores.
Em resumo: a Guardio descobriu uma cadeia de vulnerabilidades — apelidada de HermeticReader e registada como CVE-2026-48294 — na extensão Adobe Acrobat para o Google Chrome, instalada em cerca de 329 milhões de browsers. A falha permitia que qualquer site malicioso lesse as conversas do utilizador no WhatsApp Web, sem palavra-passe nem consentimento, bastando atrair a vítima a uma página controlada pelo atacante. Afeta as versões 26.5.2.1 e anteriores da extensão e já está corrigida na 26.5.2.3, distribuída automaticamente. Não há indícios de exploração ativa: a Guardio detetou a falha poucas horas depois de a Adobe a ter introduzido, e a Adobe corrigiu-a em dois dias. Ainda assim, o caso é um alerta sobre os riscos das extensões de browser.
O que é o HermeticReader e como funciona o ataque
O ataque explora uma cadeia de vulnerabilidades rastreadas coletivamente como CVE-2026-48294 e apelidadas de HermeticReader pelos investigadores da Guardio. A mecânica da exploração é perturbadoramente simples: basta que a vítima, com a extensão do Adobe Acrobat instalada, seja atraída a uma página web sob o controlo do atacante. Não é necessário instalar malware, não é pedida qualquer permissão adicional e não há alertas visíveis no browser.
O problema reside numa funcionalidade interna da extensão chamada Hermes. Hermes é o motor de integração que a extensão Adobe Acrobat para Chrome utiliza para gerir a sua interação com o WhatsApp Web, permanecendo inativo até que um sinalizador de funcionalidade específico seja ativado no armazenamento interno da extensão. Os investigadores descobriram que este motor podia ser explorado a partir do exterior: o problema surge porque a extensão Adobe permite que qualquer site disfarce comandos de um atacante como mensagens internas da extensão, ative a sua integração com o WhatsApp e redirecione as suas operações DOM privilegiadas para um separador do WhatsApp com um ID de separador previsível.
Ao fornecer esse ID à extensão, o atacante podia dirigir comandos ao separador do WhatsApp Web através do motor Hermes, que atua como intermediário entre o Acrobat e o WhatsApp. Em termos técnicos, trata-se de uma vulnerabilidade de classe Universal Cross-Site Scripting (UXSS) na extensão Adobe Acrobat PDF para o Google Chrome, que um atacante pode utilizar para contornar a política de mesma origem do browser e ler dados ligados à sessão da vítima em múltiplas origens.
Existe ainda um segundo cenário identificado pelos investigadores: recorrendo à mesma funcionalidade de controlo do DOM, um atacante poderia substituir o código QR de ligação de dispositivo do WhatsApp para tomar conta da conta do utilizador — embora este cenário exija que a vítima leia o código QR adulterado, o que acrescenta uma fricção considerável.
Versões afetadas e correção disponível
As falhas HermeticReader afetam as versões 26.5.2.1 e anteriores da extensão Adobe Acrobat para Chrome. O problema foi corrigido na versão 26.5.2.3, que foi entregue automaticamente aos utilizadores, sendo ainda assim recomendado que verifiquem se têm a versão mais recente instalada. Os utilizadores devem confirmar que a sua extensão Adobe Acrobat para Chrome está atualizada para a versão 26.5.2.3.
Para verificar a versão instalada, basta aceder a chrome://extensions no browser, localizar a extensão “Adobe Acrobat” e confirmar o número de versão apresentado. A atualização é aplicada automaticamente pelo Chrome, mas em ambientes empresariais com políticas de gestão centralizada de extensões poderá ser necessária uma intervenção manual.
A resposta da Adobe e a escala do problema
Um aspeto notável deste incidente é a rapidez com que a falha foi detetada e resolvida. O investigador assinalou que detetou a falha apenas quatro horas depois de a Adobe a ter introduzido através de uma atualização à extensão. O fabricante reagiu rapidamente ao relatório de vulnerabilidade e lançou um patch em dois dias, ao longo de um fim de semana.
A dimensão potencial do problema é assinalável. A Guardio elogiou a resposta rápida da Adobe, afirmando que a atuação imediata do fabricante correspondeu à urgência de uma falha numa extensão “instalada em aproximadamente 329 milhões de browsers”. Significa isto que, durante o curto período em que a vulnerabilidade esteve ativa, qualquer utilizador com a extensão instalada e uma sessão ativa do WhatsApp Web era potencialmente vulnerável a uma exposição das suas mensagens privadas.
Quanto à comunicação pública, a Adobe informou o investigador Nati Tal de que, regra geral, não publica boletins de segurança para produtos de consumo, mas reconheceu a falha neste caso. O investigador principal da Guardio Labs, Nati Tal, indicou ao BleepingComputer que não foram detetados indícios de exploração ativa do CVE-2026-48294.
Porque é que as extensões de browser são um vetor de risco crescente
As extensões vivem dentro do browser com permissões amplas, o que as torna um alvo apetecível — e este não é um caso isolado. Já noticiámos, por exemplo, o alerta de que duas falhas na extensão Claude for Chrome teriam permanecido por corrigir, e mostrámos como as palavras-passe guardadas no Chrome e no Edge estão sob ataque de infostealers. O browser tornou-se um dos ambientes mais sensíveis do nosso dia a dia digital.
Este incidente é um exemplo paradigmático de um problema estrutural: as extensões de browser operam com privilégios elevados e acesso transversal a múltiplos sites e serviços, tornando-as num vetor de ataque de alto valor. Ao contrário do XSS tradicional, o UXSS abusa dos privilégios elevados de browser da extensão para injetar execução de scripts em origens arbitrárias — porque as extensões podem interagir com qualquer página que o utilizador visite, uma falha no tratamento de entradas permite que conteúdo controlado pelo atacante seja executado no contexto de segurança de sites não relacionados.
A questão não é exclusiva da Adobe. Nos últimos meses foram identificados múltiplos casos de extensões para Chrome com comportamentos maliciosos ou com vulnerabilidades exploráveis. O caso HermeticReader distingue-se por envolver uma extensão legítima e amplamente distribuída de um fabricante de software de primeira linha — o que sublinha que a superfície de ataque das extensões de browser afeta indiscriminadamente todos os utilizadores, independentemente do cuidado que ponham na escolha de software.
Contexto regulatório: RGPD, NIS2 e as obrigações das organizações
Do ponto de vista regulatório, este tipo de vulnerabilidade tem implicações diretas para as organizações. O acesso não autorizado a mensagens privadas de colaboradores ou clientes através de uma falha numa extensão de browser constitui, em princípio, uma violação de dados pessoais na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD). Nos termos do artigo 33.º do RGPD, as organizações têm 72 horas para notificar a Comissão Nacional de Proteção de Dados (CNPD) caso ocorra uma violação com risco para os titulares dos dados.
No quadro da NIS2 — transposta para o ordenamento jurídico português pelo Decreto-Lei n.º 125/2025 —, as entidades essenciais e importantes são obrigadas a implementar medidas de gestão de risco de cibersegurança que incluem, designadamente, a gestão de vulnerabilidades e a segurança na cadeia de fornecimento de software. A utilização de extensões de browser em ambientes profissionais deve ser enquadrada nessa política de gestão de risco, com inventário, controlo de versões e processos definidos de atualização. O Centro Nacional de Cibersegurança (CNCS) recomenda de forma consistente a limitação das extensões instaladas ao estritamente necessário e a verificação periódica das permissões concedidas.
O que deve fazer agora
As recomendações práticas são diretas:
- Verifique a versão da extensão: aceda a
chrome://extensions, localize o Adobe Acrobat e confirme que a versão é 26.5.2.3 ou superior. - Ative as atualizações automáticas: o Chrome atualiza extensões automaticamente, mas confirme que esta funcionalidade não está desativada no seu perfil ou política empresarial.
- Reveja as extensões instaladas: remova todas as extensões que não utilize ativamente ou cujas permissões sejam excessivamente amplas.
- Em contexto empresarial: considere a adoção de políticas de gestão centralizada de extensões (via Chrome Enterprise) que restrinjam a instalação a uma lista aprovada.
Perguntas frequentes
O que é o HermeticReader?
É o nome dado pela Guardio a uma cadeia de vulnerabilidades (CVE-2026-48294) na extensão Adobe Acrobat para o Google Chrome. Explorada, permitia que um site malicioso enviasse comandos disfarçados de mensagens internas da extensão e acedesse ao conteúdo do WhatsApp Web aberto noutro separador, sem qualquer autenticação.
Estou em risco?
A falha afetava as versões 26.5.2.1 e anteriores da extensão Adobe Acrobat para Chrome e já foi corrigida na versão 26.5.2.3, distribuída automaticamente. Não há indícios de que tenha chegado a ser explorada por atacantes. Ainda assim, confirme que tem a versão mais recente instalada.
Como verifico e atualizo as minhas extensões do Chrome?
Aceda a chrome://extensions no browser, ative o “Modo de programador” e clique em “Atualizar” para forçar a atualização de todas as extensões. Aproveite para rever as extensões instaladas e remover as que não usa ou cujas permissões sejam excessivas.
Porque é que as extensões de browser são perigosas?
Porque operam dentro do browser com permissões frequentemente amplas — podem ler e alterar o conteúdo das páginas que visita. Uma falha ou uma extensão maliciosa ganha, assim, acesso a dados muito sensíveis, como sessões de email, redes sociais ou aplicações como o WhatsApp Web.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Guardio Labs, pela BleepingComputer e pela SentinelOne, bem como em informação técnica sobre o CVE-2026-48294.