Adobe AcrobatのChrome拡張機能に深刻な脆弱性、悪意あるサイトからWhatsAppのチャットデータを窃取可能に

要点

• 3億人以上のユーザーを抱える「Adobe Acrobat」のChrome拡張機能に、認証情報なしでデータを窃取できる深刻な脆弱性が存在していたことが公表された。

• 「HermeticReader」（CVE-2026-48294）と命名されたこの脆弱性は、悪用されるとブラウザ上の同一生成元ポリシーが回避される恐れがある。

• ユーザーが悪意あるウェブサイトを訪問するだけで、バックグラウンドで動作する「WhatsApp Web」の会話履歴や連絡先リストが攻撃者に読み取られる危険性があった。

• 該当する脆弱性はすでに修正プログラムが適用されており、バージョン26.5.2.2以前のすべての拡張機能が影響を受けるという。

• セキュリティ企業のGuardio Labsは2026年7月22日、3億1400万人以上のユーザーが利用するGoogle Chrome向けの「Adobe Acrobat」拡張機能に、深刻な脆弱性が存在していたことを明らかにした。この脆弱性が悪用された場合、ユーザーが気づかないうちにブラウザ上で起動している「WhatsApp Web」のチャットデータなどが第三者に読み取られる危険性があったという。現在はすでに開発元による修正プログラムが適用されている。

脆弱性の概要と影響を受けるバージョン

この脆弱性は、Guardio Labsによって「HermeticReader（ハーメチック・リーダー）」と名付けられ、公式には「CVE-2026-48294」として追跡されている。脆弱性の深刻度を示す共通脆弱性評価システム（CVSS）のスコアは7.4と測定されており、重要度の高い脆弱性として分類されている。

脆弱性の種類としては、同一生成元ポリシー（同一のオリジンから読み込まれたコンテンツのみが互いのデータにアクセスできるブラウザのセキュリティ機能）による制限を越えて機能する、ユニバーサルクロスサイトスクリプティング（UXSS：ブラウザや拡張機能の不具合により、あらゆるウェブサイトで不正なスクリプトを実行できてしまう脆弱性）クラスの「クロスオリジンデータ開示脆弱性」とされている。

影響を受けるのは、Chromeウェブストアで提供されているAdobe Acrobat拡張機能（拡張機能ID：efaidnbmnnnibpcajpcglclefindmkaj）のうち、バージョン26.5.2.2以前のすべてのバージョンだ。現在はすでに脆弱性を修正した最新バージョンが配信されている。

攻撃の手法とユーザー側の操作

Guardio Labsの調査によると、この脆弱性の最大の特徴は、攻撃の実行が非常に単純であるという点だ。攻撃者がこの脆弱性を悪用するために、ユーザーの端末に特別なマルウェアを感染させたり、フィッシング詐欺でパスワードなどの認証情報を盗み取ったり、セッションCookieを抽出したりする必要はない。

攻撃の引き金となるのは、ユーザーが攻撃者の用意した悪意あるウェブサイトを訪れることだけだ。攻撃者が制御するページは、検索結果やマーケティングメールなどを介してユーザーがたどり着くような、ごく一般的なウェブページを装っている。ユーザーがこのページを開き、クリックなどの何らかの操作を行う（ユーザーインタラクション）だけで、ブラウザにインストールされているAdobe Acrobat拡張機能の脆弱なコードパスが呼び出され、バックグラウンドで静かに攻撃が実行される。

データの窃取に至る技術的なプロセス

Guardio Labsの研究者であるShaked Biner氏が公開したレポートでは、攻撃が完了するまでの詳細な手順が解説されている。

まず、ユーザーが攻撃者の制御するウェブページにアクセスすると、そのページはAdobe Acrobat拡張機能のリソースからiframe（インラインフレーム：ウェブページ内に別のウェブページを埋め込む要素）を呼び出す。呼び出されたiframeは、拡張機能の設定を変更するためのコマンドを送信し、拡張機能内に組み込まれている「Hermes（ヘルメス）」と呼ばれるエンジンを有効化する。このHermesエンジンは、拡張機能内でWhatsAppとの連携を処理する役割を持つもので、特定の機能フラグ「floodgate-add」が有効になっている場合に作動する。

次に、攻撃者のページは、ユーザーに見えないようにバックグラウンドでブラウザの別タブに「WhatsApp Web」を開く。そして、iframeを通じてWhatsApp의 タブに割り当てられた数値IDを取得し、そのIDに向けてHermesエンジンに直接コマンドを送信する。コマンドを受け取ったHermesエンジンは、WhatsApp WebのDOM（Document Object Model：HTMLやXML文書をプログラムから操作するための構造）にフォームを挿入し、POSTメソッドによるデータ送信を行うことで、WhatsAppのデータを操作および奪取する。

HTML仕様とCSPの隙を突いた流出の仕組み

Biner氏の説明によれば、このデータの持ち出しには、HTMLおよびウェブセキュリティの仕様における2つの仕組みが巧妙に利用されていた。

1つ目は、HTMLのoption要素に関する仕様だ。HTMLの仕様上、値（value）属性が設定されていないoption要素は、その要素内に含まれるテキストコンテンツを送信値として扱う。さらに、ある要素のテキストコンテンツとは、その配下にレンダリングされているすべてのテキストを結合したものである。攻撃者はこれを利用し、WhatsApp Webの表示内容（body）をこのoption要素内に移動させることで、チャットの会話文、連絡先の名前、メッセージのプレビュー、プロファイル名といった、画面上にレンダリングされているすべてのテキストを一つの送信値としてまとめ上げた。

2つ目は、WhatsApp Web側の「コンテンツセキュリティポリシー（CSP：ウェブサイトのセキュリティを強化し、不正なコンテンツの読み込みや実行を防ぐ仕組み）」の設定である。WhatsApp Webには、フォームの送信先を制限する「form-action」ディレクティブが指定されていなかった。セキュリティ仕様において、このディレクティブが欠けている場合、ブラウザの最上位レベルでのフォーム送信は任意のドメインに対して実行可能となる。このため、ブラウザは同一生成元ポリシーの制限を受けることなく、WhatsApp Web自身の手によって、レンダリングされたDOM全体のテキストを攻撃者が管理するサーバーへとPOST送信してしまった。その後、送信先のサーバーから返ってきた内容がそのままブラウザ上に表示されることになる。

結果として、攻撃者はユーザーに気づかれることなく、表示されているチャットリスト、連絡先、アクティブな会話のテキスト全体を手に入れることが可能となっていた。

配管部分に潜むセキュリティリスク

Guardio Labsは今回の発見にあたり、多くのセキュリティ関係者が「劇的な脆弱性クラス」に注目する一方で、システムの土台となる「配管（設計や実装の接合部）」のような基礎的な部分の検証を疎かにしがちであると指摘した。

このような細かな設計上の欠陥が組み合わさることで、システム全体の崩壊を招く危険性がある。また、インストールベース（利用されているユーザー数）が大きければ大きいほど、問題のある接合部が点検される前に、その「建物」は長期間にわたって崩壊せずに立ち続けてしまうと、同社は警告を締めくくっている。