Guardio bezeichnet den Angriffsweg als „HermeticReader“. Im Kern nutzt er laut den Forschern fehlende Sicherheitsprüfungen im internen Nachrichtensystem der Adobe-Erweiterung aus. Lädt ein Opfer die bösartige Webseite, bringt ein versteckter Frame die Erweiterung dazu, nicht verifizierte Befehle zu akzeptieren.
Dadurch kann ein Angreifer unbemerkt in den lokalen Speicher der Erweiterung schreiben und Hermes aktivieren. Dabei handelt es sich um eine von Adobe entwickelte, zunächst inaktive Integrationskomponente. Nach ihrer Aktivierung schafft sie die Verbindung zu WhatsApp Web.
Auf diesem Weg konnten Angreifer laut Guardio die privaten Chats, Kontakte und Kontodetails des Opfers unsichtbar und im Klartext auslesen. Der Angriff setzte dabei weder auf eine Schwachstelle in WhatsApp noch auf das Einschleusen von Malware. Auch kompromittierte Anmeldedaten oder ein Zugriff auf das Endgerät des Ziels waren laut dem Bericht nicht erforderlich.
Adobe patchte die Lücke im Juni, kurz nachdem das Unternehmen darüber informiert worden war. Die Schwachstelle trägt die Kennung CVE-2026-48294. Adobe stuft sie als Cross-Origin-Datenoffenlegung der UXSS-Klasse ein.
Besonders brisant ist die weite Verbreitung der betroffenen Erweiterung: Nach den im Bericht genannten Zahlen ist Adobe Acrobat für Chrome in etwa 329 Millionen Browsern installiert. Guardio hat zudem ein Video veröffentlicht, das einen HermeticReader-Angriff in Aktion zeigt.
Der Vorfall betrifft damit nicht WhatsApp selbst, sondern die Schnittstelle, die durch die Browser-Erweiterung geschaffen wurde. Entscheidend für die Ausnutzung war nach den Angaben von Guardio allein, dass das Opfer eine präparierte Webseite aufrief, die die interne Kommunikation der Erweiterung missbrauchte.