Adobe AcrobatのChrome拡張機能に存在する脆弱性は、攻撃者が任意のWebサイトから拡張機能の内部処理を操作可能にする。この脆弱性は「HermeticReader」と呼ばれ、3つの異なる脆弱性が組み合わさって発生する。攻撃者は拡張機能のWhatsApp統合機能を起動させ、ユーザーのWhatsApp WebページのDOM構造を操作することで、メッセージ、連絡先、プロフィール情報などのデータを漏洩させる。

この攻撃はセッション認証情報が必要なく、ユーザーが拡張機能をインストール済みでWhatsApp Webを開いていれば十分である。攻撃者はフォームをWhatsAppページに注入し、ページの内容を自らのサーバーに転送できる。ただし、読み込まれていないまたは表示されていないメッセージはこの攻撃で取得できない。

Adobeはバージョン26.5.2.3でこの問題を修正し、ユーザーに対して自動更新を提供した。セキュリティ研究者は、Adobeが脆弱性の報告から2日以内に修正を施したことを称賛した。ユーザーは拡張機能が最新版であることを確認することが推奨される。