Bezpečnostní výzkumníci ze společnosti Guardio Labs odhalili zranitelnost s kódovým označením HermeticReader v rozšíření Adobe Acrobat pro Chrome, které používá přes 314 milionů uživatelů. Chyba evidovaná jako CVE-2026-48294 umožňovala útočníkovi tiše získat přístup ke zprávám a kontaktům ve WhatsApp Web, aniž by musel zneužít jedinou zranitelnost samotného WhatsApp.
Co přesně HermeticReader dělal
Podle zprávy Guardio Labs šlo o zranitelnost typu UXSS (universal cross-site scripting) umožňující cross-origin únik dat – tedy chybu, která rozšíření dovolovala číst obsah jiných webových stránek otevřených v prohlížeči, včetně těch, ke kterým by za normálních okolností nemělo mít žádný přístup. Postiženy byly všechny verze rozšíření (ID efaidnbmnnnibpcajpcglclefindmkaj) do verze 26.5.2.2 včetně. Se skóre CVSS 7.4 jde o zranitelnost, kterou nelze označit za kritickou v nejvyšším slova smyslu, ale její praktický dopad byl citelný – umožňovala tichý přístup k jedné z nejrozšířenějších komunikačních platforem na světě.
Stačila jediná návštěva škodlivého webu
Nejznepokojivější na celém útoku byla jeho jednoduchost z pohledu oběti. Útočník potřeboval jen přimět uživatele k návštěvě podvodné stránky – žádný malware, žádné kompromitované přihlašovací údaje, žádný zásah do samotné aplikace WhatsApp. Rozšíření Adobe Acrobat, kterému uživatelé běžně důvěřují jako nástroji pro práci s PDF soubory, se tak mohlo stát tichým prostředníkem k exfiltraci soukromých zpráv a kontaktů. Guardio Labs uvedla, že nemá důkazy o aktivním zneužívání zranitelnosti v praxi, což je dobrá zpráva – ale rozhodně to neznamená, že by si uživatelé mohli dovolit aktualizaci odkládat.
Co se tímto případem znovu potvrzuje
Tento incident je připomínkou, že rozšíření prohlížeče představují jednu z nejméně viditelných, a přitom nejvýkonnějších částí útočné plochy webu. Uživatel nainstaluje rozšíření kvůli jedné konkrétní funkci – v tomto případě práci s PDF – a nevědomky mu udělí oprávnění, která mohou sahat mnohem dál. Pro provozovatele webů a e-shopů je to důležitá lekce: bezpečnost vašeho vlastního webu nekončí u vašeho serveru a kódu, ale zahrnuje i prostředí prohlížeče, ve kterém návštěvníci web otevírají.
Co si z toho mají odnést vývojáři webových aplikací
Pro týmy, které stavějí webové aplikace, je HermeticReader i ukázkovým příkladem důležitosti vrstvené obrany. Hlavičky Content-Security-Policy, důsledná validace dat předávaných přes postMessage a sandboxování nedůvěryhodných skriptů třetích stran v izolovaných iframe sama o sobě škodlivé rozšíření nezastaví, ale výrazně omezí rozsah škod, pokud se něco pokazí. Vnímat ekosystém rozšíření prohlížeče jako nedůvěryhodnou součást bezpečnostního modelu, a ne jako okrajovou záležitost, je návyk, který se vyplatí zabudovat do každého bezpečnostního review.
Jak se chránit
Adobe zranitelnost opravil ve verzi 26.7.2.0, která je již dostupná ke stažení – pokud Chrome rozšíření aktualizuje automaticky, měli byste opravenou verzi mít už teď. Přesto se vyplatí ručně zkontrolovat verzi nainstalovaného rozšíření v chrome://extensions. Obecně doporučujeme pravidelně revidovat oprávnění všech nainstalovaných rozšíření, odstraňovat ta, která nepoužíváte, a u týmů pracujících s citlivými daty klientů zvážit centrální politiku povolených rozšíření napříč firemními zařízeními.
Co to znamená pro firmy spravující zákaznická data
Pokud vaše firma provozuje e-shop nebo interní systém, do kterého se zaměstnanci přihlašují přes prohlížeč s desítkami nainstalovaných rozšíření, riziko podobné zranitelnosti se týká i vás – a to i v případě, že váš vlastní web je zabezpečený bezchybně. Útočník totiž nemusí prolomit vaši aplikaci, stačí mu kompromitovat prohlížeč zaměstnance přes zdánlivě neškodné rozšíření a odtud sledovat, kopírovat nebo pozměňovat data, se kterými zaměstnanec pracuje. Zahrňte proto pravidelnou revizi rozšíření do interních bezpečnostních směrnic stejně samozřejmě, jako pravidelně měníte hesla nebo aktualizujete firemní software.
Proč se podobné chyby stále opakují
HermeticReader zapadá do dlouhodobého vzorce, kdy jsou právě rozšíření prohlížeče opakovaně zdrojem vážných incidentů – od krádeží přihlašovacích cookies přes injektáž reklam až po tichý sběr prohlížecí historie. Důvod je prostý: rozšíření běží s vysokou mírou důvěry a širokým přístupem napříč doménami, ale bezpečnostní audity procházejí zdaleka ne tak často jako u samotných webových aplikací nebo operačních systémů. Dokud si uživatelé i firmy neuvědomí, že rozšíření zasluhuje stejnou pozornost jako jakýkoliv jiný software s přístupem k citlivým datům, budeme podobné zprávy číst i v příštích letech.
Závěr
Zranitelnosti tohoto typu ukazují, že bezpečnost webu je vždy jen tak silná, jako nejslabší článek v řetězci – a tím může být i drobné rozšíření prohlížeče, kterému nikdo nevěnuje pozornost. Prevence přitom nevyžaduje drahé nástroje, jen důslednou rutinu: pravidelné aktualizace, revizi oprávnění a zdravou nedůvěru k tomu, co si prohlížeč tiše nainstaluje. Chcete si být jistí, že váš web i firemní zařízení splňují aktuální bezpečnostní standardy? Ozvěte se nám, rádi provedeme bezpečnostní audit.
