Una vulnerabilità nell’estensione Adobe Acrobat per Google Chrome, corretta ma particolarmente rilevante per diffusione e impatto, poteva consentire a un sito malevolo di leggere dati visibili su WhatsApp Web senza rubare password o installare malware. Il problema riguarda un’estensione con oltre 314 milioni di utenti e dimostra un punto spesso sottovalutato: oggi il rischio non passa solo dalle email di phishing o dai virus, ma anche da componenti apparentemente affidabili del browser.
Per un’azienda questo tema conta perché WhatsApp Web viene usato sempre più spesso per comunicazioni operative, rapporti con clienti e scambio di informazioni rapide. Se un dipendente visita una pagina preparata ad arte con un browser non aggiornato, il danno può essere la fuoriuscita di conversazioni, nomi dei contatti e contenuti visibili sullo schermo, con possibili conseguenze su riservatezza, reputazione e conformità.
Che cosa è successo
Il 22 luglio 2026 The Hacker News ha riportato i dettagli di una catena di vulnerabilità individuata da Guardio Labs nell’estensione Adobe Acrobat per Chrome. Il difetto è stato denominato HermeticReader ed è tracciato come CVE-2026-48294, con punteggio CVSS 7.4.
Secondo i ricercatori, il problema interessava tutte le versioni dell’estensione Adobe Acrobat per Chrome fino alla 26.5.2.2 inclusa. Adobe ha quindi corretto la falla, ma la notizia resta importante perché l’estensione è molto diffusa e installata in contesti personali e aziendali.
Il punto critico è la natura della vulnerabilità: una falla di tipo UXSS, cioè una debolezza che permette di aggirare l’isolamento normalmente imposto dal browser tra un sito e l’altro. In condizioni normali, una pagina web non può leggere i contenuti aperti in un altro dominio. In questo caso, invece, una combinazione di errori nell’estensione consentiva a una pagina ostile di accedere a dati legati alla sessione dell’utente su altri servizi web.
In pratica, non si parlava di un semplice bug grafico o di un malfunzionamento secondario, ma di una debolezza in grado di scavalcare una delle protezioni fondamentali del browser moderno: la separazione tra origini diverse.
Perché WhatsApp Web era coinvolto
La dimostrazione più significativa resa pubblica dai ricercatori riguarda WhatsApp Web. L’estensione Adobe Acrobat includeva un motore interno, indicato nelle analisi come Hermes, che poteva essere attivato tramite uno specifico percorso di codice. Una volta risvegliato da una pagina malevola, questo componente poteva interagire con una scheda di WhatsApp Web aperta nel browser della vittima.
L’attacco, per come descritto, non richiedeva il furto del cookie di sessione, non obbligava a installare software aggiuntivo e non passava nemmeno dal furto diretto delle credenziali. Bastava convincere l’utente a visitare un URL costruito ad hoc oppure a interagire con una pagina web compromessa.
Se le condizioni erano favorevoli, l’attaccante poteva arrivare a raccogliere il contenuto reso visibile di WhatsApp Web: elenco chat, nomi dei contatti, anteprime dei messaggi, nome del profilo e testo della conversazione aperta in quel momento. È un dettaglio essenziale: non parliamo di un accesso teorico o tecnico a basso valore, ma di informazioni leggibili e immediatamente sfruttabili.
Per molte aziende, proprio queste informazioni rappresentano il vero patrimonio: relazioni commerciali, richieste dei clienti, dettagli operativi, appuntamenti, istruzioni interne, numeri di telefono e riferimenti personali.
Come funzionava l’attacco, in parole semplici
Senza entrare in dettagli troppo tecnici, la catena di sfruttamento descritta da Guardio Labs seguiva una logica precisa.
Prima di tutto, la vittima apriva una pagina controllata dall’attaccante. Questa pagina richiamava risorse dell’estensione Adobe Acrobat e attivava un componente interno che non avrebbe dovuto essere esposto in quel modo. Successivamente, l’attacco apriva WhatsApp Web in background e individuava la scheda corretta del browser.
A quel punto il motore interno dell’estensione poteva inviare comandi verso quella scheda e manipolare il contenuto della pagina in modo da estrarre il testo visualizzato e inviarlo verso un endpoint controllato dall’attaccante.
L’aspetto più insidioso non è solo la vulnerabilità in sé, ma il fatto che l’intera sequenza potesse sembrare all’utente del tutto ordinaria. Nessun eseguibile da scaricare, nessuna finestra di login falsa necessariamente evidente, nessun malware tradizionale da installare. Solo una pagina visitata nel browser, magari arrivata da risultati di ricerca, link promozionali o pagine apparentemente legittime.
Perché questa vicenda è importante anche oltre Adobe
Il caso è interessante perché evidenzia una tendenza più ampia: le estensioni del browser sono ormai parte integrante dell’ambiente di lavoro e spesso dispongono di privilegi molto più elevati rispetto a una normale pagina web.
Molte aziende si concentrano, giustamente, su antivirus, backup, firewall e posta elettronica. Tuttavia, la superficie di attacco si è allargata: browser, plugin, componenti di produttività, integrazioni con documenti PDF, strumenti AI, sincronizzazioni cloud e piattaforme di messaggistica web sono oggi tutti potenziali punti di ingresso.
Quando un’estensione molto diffusa presenta un errore di progettazione o di implementazione, il rischio aumenta per due motivi. Primo: l’installato è enorme, quindi gli utenti esposti sono numerosi. Secondo: l’estensione gode di un rapporto di fiducia implicito. Se è firmata da un marchio noto, molti la considerano sicura per definizione e smettono di porsi domande.
In realtà, la lezione da trarre è diversa: anche gli strumenti più comuni e diffusi devono rientrare nei processi di gestione della sicurezza e degli aggiornamenti.
Cosa significa per la tua azienda
Per una PMI italiana, questa notizia suggerisce alcune azioni concrete e immediate.
Il primo passo è verificare se in azienda l’estensione Adobe Acrobat per Chrome è installata e, in caso affermativo, controllare che sia stata aggiornata oltre la versione 26.5.2.2. Se la gestione dei browser è lasciata ai singoli utenti, è il momento di centralizzare almeno le verifiche minime sui componenti installati.
Il secondo punto riguarda l’uso di WhatsApp Web. In molte realtà è entrato nei processi quotidiani senza una vera policy: commerciale, reception, amministrazione e assistenza clienti lo usano liberamente dal browser aziendale. Questo non significa che vada vietato in assoluto, ma che va governato. Occorre stabilire chi può usarlo, su quali dispositivi, per quali finalità e con quali accorgimenti.
Terzo: ridurre il numero di estensioni installate ai soli componenti realmente necessari. Ogni plugin in più amplia la superficie di attacco. Una revisione trimestrale delle estensioni autorizzate può eliminare strumenti inutilizzati o ridondanti.
Quarto: aggiornare automaticamente browser ed estensioni, senza dipendere dall’iniziativa del singolo dipendente. In questo ambito può essere utile una gestione strutturata delle postazioni, come un servizio di /servizi/desktop-it-management/, per mantenere controllo su software, configurazioni e patch.
Quinto: formare il personale su un concetto semplice ma cruciale. Anche una normale pagina web può rappresentare un rischio se sfrutta un componente del browser vulnerabile. Non tutto il pericolo si presenta con il classico allegato sospetto. Serve quindi formazione breve ma ricorrente, orientata al comportamento quotidiano.
Sesto: valutare l’impatto privacy. Se tramite browser possono transitare conversazioni con clienti, fornitori o dipendenti, un incidente di questo tipo può avere riflessi anche sul trattamento dei dati personali. In questi casi è opportuno collegare la sicurezza tecnica alle procedure di conformità, per esempio con un supporto su /servizi/gdpr-2016-679/.
Infine, ricordiamo una misura trasversale: prepararsi all’incidente. Anche quando la vulnerabilità è già corretta, conviene avere procedure chiare per verificare l’esposizione, isolare le postazioni dubbie, cambiare sessioni e documentare eventuali impatti. Una buona strategia di sicurezza non elimina tutti i rischi, ma riduce tempi di reazione e danni.
Lezioni pratiche da portare in direzione
Se devi spiegare questo caso a titolari, manager o responsabili d’ufficio, il messaggio può essere riassunto così: un software legittimo e molto diffuso, installato nel browser, ha creato un varco che un sito malevolo poteva sfruttare per leggere informazioni da un altro servizio web già aperto dall’utente.
Non è un caso isolato né un dettaglio per addetti ai lavori. È la prova che la sicurezza aziendale oggi dipende anche dalla manutenzione ordinaria degli endpoint, dalla disciplina sugli strumenti web e dalla visibilità su ciò che gli utenti installano e usano davvero.
In altre parole, la protezione non si gioca solo sul perimetro di rete. Si gioca sul desktop, nel browser, nelle estensioni e nelle abitudini operative. Per questo risultano sempre più importanti servizi continuativi di presidio e supporto, come i /soluzioni/contratti-assistenza-informatica/, che aiutano a non lasciare scoperti gli aspetti meno visibili ma più esposti.
Domande frequenti
Se aggiorno l’estensione Adobe Acrobat, il problema è risolto?
Sì, la vulnerabilità descritta riguarda tutte le versioni fino alla 26.5.2.2 inclusa ed è stata corretta. Va comunque verificato che l’aggiornamento sia effettivamente installato su tutti i PC aziendali interessati.
Serviva rubare password o installare malware?
No. Secondo i ricercatori, l’attacco non richiedeva né il furto delle credenziali né l’installazione di malware. Era sufficiente portare la vittima su una pagina preparata appositamente e sfruttare l’estensione vulnerabile.
Dobbiamo smettere di usare WhatsApp Web in azienda?
Non necessariamente, ma va gestito con regole chiare. È opportuno limitarne l’uso ai casi realmente necessari, mantenere browser ed estensioni aggiornati e definire policy su dispositivi, account e dati condivisi.