Коротко: В конце июля 2026 года компания Guardio Labs раскрыла уязвимость HermeticReader (CVE-2026-48294, CVSS 7.4) в расширении Adobe Acrobat для Chrome, установленном примерно на 329 млн браузеров. Достаточно было зайти на вредоносный сайт с открытой в соседней вкладке WhatsApp Web — и страница могла незаметно прочитать список ваших чатов, контакты и открытую переписку. Adobe закрыла брешь за считаные дни, признаков реальных атак не нашли, но случай показывает, как много способно «дотянуться» одно доверенное расширение.
Что произошло?
Исследователи Guardio Labs нашли цепочку ошибок в официальном браузерном расширении Adobe Acrobat для Chrome и назвали её HermeticReader. Уязвимости присвоили идентификатор CVE-2026-48294 и оценку CVSS 7.4. Это уязвимость класса universal cross-site scripting (UXSS) — когда один сайт обходит политику одного источника (same-origin policy) браузера и читает данные, принадлежащие другому сайту.
Расширение установлено примерно на 329 млн браузеров — именно масштаб делает уязвимость средней тяжести настолько значимой. Для атаки не требовались ни вредоносное ПО, ни украденные пароли, ни сессионные cookie, ни собственный аккаунт Adobe или WhatsApp у атакующего — только жертва с установленным расширением и открытой в соседней вкладке WhatsApp Web. Это близкий родственник утечек на уровне приложений, которые мы разбирали в материале про приложения, тихо сливающие ваши данные, — а базовая защита, как всегда, начинается с основ в нашем блоге.
Как работала атака?
По данным Guardio, вредоносная страница могла выдавать свои команды за внутренние сообщения расширения, потому что оно не проверяло как следует, кто с ним «разговаривает». Через скрытый фрейм страница активировала WhatsApp-интеграцию расширения, открывала WhatsApp Web в фоновой вкладке и — пользуясь предсказуемой последовательной нумерацией вкладок в Chrome — направляла привилегированные операции расширения именно на эту вкладку.
Дальше атакующий мог прочитать отрисованный список чатов, имена контактов, превью сообщений, имя профиля и видимый текст открытого диалога. Всё это происходило без каких-либо заметных признаков для пользователя. Исследователь Guardio отметил, что заметил брешь лишь примерно через четыре часа после того, как Adobe выпустила породившее её обновление, и не нашёл следов эксплуатации в реальных атаках.
Чем это грозит вам и вашим данным
Конкретную ошибку исправили, но урок шире: браузерные расширения работают с широчайшим доступом ко всему, что вы делаете в сети. Инструмент, установленный когда-то ради открытия PDF, при наличии уязвимости может стать окном в вашу личную переписку. Расширения — такое же ПО, как любое другое: в них есть ошибки, обновления приносят новые ошибки, и они — излюбленная цель, потому что им доверяют не задумываясь.
Вот почему утечка даже «всего лишь» превью и имён контактов имеет значение. Имена, обрывки сообщений и картина «кто с кем общается» — именно то сырьё, из которого делают убедительный персональный фишинг: письмо, цитирующее ваш реальный разговор, отмахнуться куда сложнее, чем от обычного спама.
Как проверить и снизить риск от расширений?
Откройте страницу расширений в браузере и удалите всё, чем больше не пользуетесь: каждое оставленное расширение — это поверхность атаки, которую вы носите с собой. Для нужных включите автообновление, чтобы исправления вроде адобовского доходили быстро; в этом случае безопасная сборка — версия 26.5.2.3 и новее. Особенно осторожно выдавайте право «читать и изменять все ваши данные на всех сайтах» инструментам, которым это на деле не нужно.
Как защититься
Проредите расширения. Чем меньше расширений и чем они известнее, тем меньше путей, которыми одна уязвимость доберётся до ваших данных.
Держите всё обновлённым. Окно опасности закрывается, когда ставится патч. Включите автообновление браузера и расширений.
Включите двухфакторную аутентификацию. Даже если утекут превью сообщений или контакты, 2FA остаётся барьером между атакующим и полным захватом аккаунта.
Закройте сетевой уровень. Будем честны: VPN не остановит вредоносное расширение, которое уже работает внутри вашего браузера, — это проблема на стороне устройства. Но VPN вроде LiMP VPN шифрует ваш трафик в недоверенных сетях, чтобы его нельзя было перехватить по пути, и скрывает реальный IP от сайтов и провайдера. Он закрывает сетевую половину приватности — как это устроено, показано на странице возможностей, — а гигиена расширений и 2FA закрывают остальное.
Источники
Материал основан на техническом разборе Guardio Labs и публикациях SecurityLab, Anti-Malware.ru и BleepingComputer (июль 2026 года).