Über Add-on von Adobe: Forscher zeigen Whatsapp-Datenklau mit nur einem Klick

Sicherheitsrisiko durch weit verbreitete Browser-Erweiterung

Eine kritische Schwachstelle in einem der meistgenutzten Browser-Add-ons weltweit hat für Aufsehen in der IT-Sicherheitsbranche gesorgt. Die Adobe Acrobat-Erweiterung für Google Chrome, die auf über 300 Millionen Installationen kommt, wies eine Sicherheitslücke auf, die es Angreifern ermöglichte, private Daten aus WhatsApp-Web-Sitzungen auszulesen. Die Entdeckung wurde von Sicherheitsforschern des Unternehmens Guardio publik gemacht.

Die Schwachstelle, die unter der Kennung CVE-2026-48294 geführt wird, erhielt einen hohen Schweregrad (CVSS-Wert: 7,4). Sie basierte auf einer fehlerhaften Neutralisierung von Eingabedaten (CWE-79), was zu einem klassischen Cross-Site-Scripting (XSS) führte. Dies erlaubte es, über präparierte Webseiten unbefugt auf Browser-Sessions zuzugreifen.

Funktionsweise des Datenklaus: Der „Hermeticreader“-Angriff

Die von den Forschern als „Hermeticreader“ bezeichnete Angriffsmethode zeichnete sich durch eine besonders niedrige Hürde für Kriminelle aus. Entgegen komplexer Hacking-Szenarien war für den Datendiebstahl keine Installation von Schadsoftware erforderlich. Auch Phishing-Versuche zur Passwort-Erlangung oder die Manipulation von Sitzungs-Cookies waren für den Erfolg des Angriffs nicht notwendig.

Stattdessen reichte es aus, dass ein Nutzer, der bei WhatsApp Web angemeldet war, eine vom Angreifer kontrollierte Webseite aufrief. Mit nur einem Klick konnten die Täter laut den Berichten der Forscher private Chats, Kontaktlisten und weitere sensible Informationen im Klartext abgreifen. Dabei wurde keine Zero-Day-Lücke in WhatsApp selbst ausgenutzt; das Einfallstor war ausschließlich die Adobe-Erweiterung.

Die Rolle der internen „Hermes“-Engine

Die technische Analyse ergab, dass der Exploit eine interne Komponente der Erweiterung namens „Hermes“ adressierte. Diese Engine ist normalerweise dafür zuständig, die Interaktion zwischen der Adobe-Erweiterung und WhatsApp Web zu ermöglichen, etwa um PDF-Dokumente zu verarbeiten. In der Standardkonfiguration ist Hermes inaktiv. Den Forschern gelang es jedoch zu demonstrieren, dass Angreifer dieses Feature über ein sogenanntes Feature-Flag aktivieren konnten, um den Datenzugriff zu erzwingen. Bei der Entwicklung dieses Exploits setzten die Sicherheitsforscher von Guardio nach eigenen Angaben unterstützend Künstliche Intelligenz ein.

Schnelle Reaktion und behobene Sicherheitslücke

Adobe reagierte nach der Meldung der Forscher zügig. Innerhalb eines Wochenendes wurde ein Patch bereitgestellt, der die Sicherheitslücke schloss. Die Schwachstelle betraf alle Versionen der Adobe Acrobat-Erweiterung bis einschließlich 26.5.2.2. Mit der Version 26.5.2.3 wurde der Fehler behoben. Inzwischen wurde die Erweiterung weiter aktualisiert, wobei die aktuelle Version 26.7.2.0 bereits über den Stand des Patches hinausgeht.

Da Browser-Erweiterungen in der Regel automatische Updates beziehen, sollten die meisten Nutzer der Erweiterung bereits über die korrigierte Software verfügen. Dennoch empfiehlt es sich, die installierte Version im Chrome Web Store zu überprüfen, um sicherzustellen, dass das Add-on auf dem neuesten Stand ist. Die Sicherheitsforscher lobten die Reaktionszeit von Adobe ausdrücklich, da eine derart schnelle Fehlerbehebung bei einer Nutzerbasis von über 300 Millionen Menschen keineswegs selbstverständlich ist.