Ausgangspunkt des Angriffs war laut Guardio die Art, wie die Adobe-Acrobat-Erweiterung mit WhatsApp Web integriert ist. Die Erweiterung nutzt dafür eine Komponente namens Hermes, die als Vermittler zwischen Acrobat und WhatsApp fungiert. Hermes bleibt zunächst inaktiv und wird erst aktiv, wenn in der internen Speicherung der Erweiterung ein bestimmtes Funktionskennzeichen gesetzt wird.
Sobald Hermes läuft, kann die Komponente Anfragen aus der Integration annehmen, eine über WhatsApp geteilte PDF-Datei öffnen und Antworten zurücksenden. Zudem lassen sich darüber Befehle direkt an einen Tab mit dem Messaging-Dienst schicken, und zwar über ein Skript, das das Document Object Model von WhatsApp manipulieren kann. Nach Darstellung von Guardio lag das Problem darin, dass jede Website Angreiferbefehle als interne Erweiterungsnachrichten tarnen konnte.
In einem Bericht an BleepingComputer erklärt Guardio, HermeticReader nutze drei Schwachstellen aus, die „einen nicht authentifizierten Schreibzugriff mit nur einem Seitenaufruf und ohne weitere Nutzerinteraktion in den Speicher der Erweiterung von jeder beliebigen Webseite aus“ erlauben. Die Forscher erläuterten außerdem, dass die Erweiterung eine interne HTML-Ressource enthält, die als iframe von jeder beliebigen Seite eingebunden werden kann. Diese interne HTML-Seite empfange Kommandos über einen URL-Parameter, der später verarbeitet und an den Service Worker der Erweiterung weitergereicht werde, also an deren Backend mit den entsprechenden Berechtigungen – ohne zu prüfen, ob der Befehl tatsächlich von einem echten Adobe-Content-Skript oder von einer anderen Seite stammt.
Guardio demonstrierte den Abfluss von Daten, indem ein Formular in WhatsApp Web eingeschleust, der aktuelle Seiteninhalt in ein <option>-Element verschoben und das Formular an einen von den Forschern kontrollierten Server gesendet wurde. Da eine Option ohne definierten Wert ihren Textinhalt übermittelt und die Content-Security-Policy von WhatsApp laut Bericht keine Einschränkung für Formularaktionen enthielt, sendete der Browser den gerenderten Seitentext an den Angreifer. Betroffen waren dabei allerdings nur Nachrichten, die bereits geladen oder gerendert worden waren; nicht geladene Inhalte wurden nach Angaben von Guardio nicht offengelegt.
Die Forscher nennen noch ein weiteres mögliches Szenario: Mit derselben DOM-Kontrolle könnte ein Angreifer den QR-Code zum Verknüpfen von Geräten in WhatsApp austauschen und so ein Konto übernehmen. Dafür müsste das Opfer den ersetzten QR-Code allerdings tatsächlich scannen, was den Angriff deutlich erschwere.
Adobe hat die unter CVE-2026-48294 geführten Fehler in Version 26.5.2.3 der Adobe-Acrobat-Erweiterung für Chrome behoben. Die Korrektur wurde automatisch verteilt. Nutzer sollen dennoch prüfen, ob diese Version installiert ist. Guardio-Hauptforscher Nati Tal sagte BleepingComputer, es gebe keine Anzeichen für eine aktive Ausnutzung. Tal zufolge entdeckten die Forscher die Schwachstelle nur vier Stunden, nachdem Adobe sie mit einem Update in die Erweiterung eingeführt hatte. Laut Guardio reagierte Adobe schnell auf die Meldung und stellte innerhalb von zwei Tagen, noch über ein Wochenende, einen Patch bereit. Guardio hob die schnelle Reaktion des Herstellers hervor und verwies darauf, dass die Erweiterung auf „rund 329 Millionen Browsern“ installiert sei. Adobe teilte Nati Tal mit, dass das Unternehmen für Verbraucherprodukte im Allgemeinen keine Sicherheitsbulletins veröffentliche, die Schwachstelle hier aber anerkannt habe.