La extensión de Adobe Acrobat para Chrome se ha convertido en el último dolor de cabeza para quienes usan WhatsApp desde el navegador. Y no es una exageración, porque hablamos de un fallo que puede abrir la puerta a las conversaciones privadas de la app de mensajería sin pedir permiso a nadie. Ya lo hemos repetido más de una vez, los atacantes saben que las extensiones son un terreno fértil, y este caso lo confirma otra vez.
El problema, por lo que se sabe hasta ahora, tiene nombre y apellidos. Se trata de una vulnerabilidad catalogada como CVE-2026-48294 y bautizada como HermeticReader. Basta con que la persona que tiene activa la extensión de Adobe Acrobat en Chrome acabe en una página controlada por el atacante para que empiece el desastre. Nada de contraseñas ni de autenticación, simplemente una redirección aparentemente inofensiva y ya está el problema servido.
Qué permite hacer exactamente este fallo de seguridad
Lo curioso, y a la vez lo preocupante, es el mecanismo que hay detrás. La extensión deja que cualquier sitio web disfrace los comandos del atacante como si fueran mensajes internos suyos. A partir de ahí puede activar su integración con WhatsApp Web y redirigir todo hacia una pestaña de la app usando un identificador concreto, un ID de pestaña. Cuando el atacante entrega ese ID al complemento, consigue dirigir órdenes hacia la pestaña de WhatsApp Web valiéndose del motor Hermes, que hace de intermediario entre Acrobat y el servicio de mensajería.
Ese motor, por si no suena de nada, es la pieza que la extensión de Adobe Acrobat para Chrome utiliza para gestionar todo el trasiego con WhatsApp Web. Normalmente permanece dormido y solo despierta cuando una función específica lo activa desde el almacenamiento interno de la propia extensión. El detalle no es menor, porque una vez en marcha el margen de maniobra para el atacante se amplía bastante.
Link affiliatoCómo protegerse del problema de la extensión de Adobe en Chrome
Cuando Hermes entra en funcionamiento, puede recibir peticiones para abrir un PDF compartido a través de WhatsApp y devolver respuestas. El punto débil está en un recurso HTML interno que forma parte de la extensión de Adobe. Ese recurso permite que cualquier página web lo cargue como un iframe, y ahí es donde salta todo por los aires. La página interna no comprueba si la petición viene de un script legítimo de Adobe o de cualquier otro sitio, y esa falta de control es justo lo que convierte el fallo en algo tan peligroso.
Por eso conviene tratar con mucho cuidado las extensiones del navegador que damos por seguras solo por venir de nombres conocidos. Revisar cuáles tenemos instaladas, desactivar las que no usamos y mantener todo actualizado sigue siendo la vía más razonable mientras llega una solución definitiva para este agujero concreto.
Fuente
Imagen: softzone.es