Una vulnerabilidad en la extensión de Adobe Acrobat para Google Chrome pudo convertir una visita a una página maliciosa en una vía para leer conversaciones, contactos y datos visibles en WhatsApp Web. La investigación fue publicada por Guardio Labs y el fallo recibió el identificador CVE-2026-48294. El dato que más llama la atención es el alcance: la extensión estaba instalada en aproximadamente 329 millones de navegadores. Adobe corrigió el problema en junio de 2026, pero el caso deja una enseñanza importante: una conversación protegida con cifrado de extremo a extremo puede quedar expuesta si otro componente del navegador logra leer lo que ya aparece descifrado en la pantalla.
No fue una falla de WhatsApp
La vulnerabilidad no estaba en la aplicación de WhatsApp ni implicaba romper su cifrado. El problema se encontraba en la extensión de Adobe Acrobat para Chrome y en la forma en que ciertos componentes internos aceptaban mensajes sin validar correctamente quién los enviaba.
Cuando WhatsApp Web está abierto, el navegador muestra los chats ya descifrados para el usuario legítimo. Una extensión con permisos y acceso a la página puede interactuar con ese contenido. En este caso, la cadena de fallos permitía activar un motor de integración de Adobe y enviar instrucciones hacia la pestaña de WhatsApp Web.
La diferencia es importante para evitar conclusiones equivocadas. No significa que cualquier persona pueda leer chats de WhatsApp a distancia ni que el cifrado haya desaparecido. El riesgo dependía de una versión vulnerable de la extensión, de visitar una página preparada por un atacante y de tener WhatsApp Web disponible en el navegador.
Cómo funcionaba el ataque HermeticReader
Guardio bautizó la cadena como HermeticReader. Según su investigación, una página controlada por un atacante podía cargar recursos internos de la extensión mediante marcos ocultos y enviar mensajes que la extensión trataba como confiables. El problema era que el sistema no comprobaba adecuadamente el origen de esas órdenes.
A partir de allí, el atacante podía modificar datos locales de la extensión y activar Hermes, un motor de integración relacionado con WhatsApp Web. Después, la cadena permitía identificar o predecir la pestaña correcta y enviar comandos al contenido de WhatsApp.
El resultado potencial era la extracción de nombres de contactos, lista de chats, mensajes visibles, datos del perfil y otra información presente en la interfaz. Guardio también describió posibilidades de manipulación de la página, como cambiar elementos visuales o intentar engañar al usuario con un código QR falso.
La investigación destaca que no era necesario instalar malware adicional, robar una contraseña o tomar primero el control completo del computador. Bastaba con que la víctima tuviera la extensión vulnerable y visitara una página diseñada para explotar la cadena.
Por qué una extensión puede ser tan poderosa
Las extensiones mejoran el navegador, pero algunas necesitan permisos amplios para leer páginas, modificar contenido, descargar archivos o comunicarse con servicios. Eso las convierte en una parte sensible del sistema. Una vulnerabilidad en una extensión popular puede afectar múltiples sitios al mismo tiempo.
El usuario suele concentrarse en actualizar Windows, Android, iOS o el navegador, pero olvida revisar las extensiones. Muchas se actualizan automáticamente; sin embargo, un navegador cerrado durante semanas, un perfil sin sincronización o una política empresarial pueden retrasar la instalación del parche.
También existe otro riesgo: instalar extensiones falsas que imitan marcas conocidas. Por eso no basta con reconocer el nombre. Se debe comprobar el desarrollador, la cantidad de instalaciones, la dirección oficial y los permisos solicitados.
Adobe corrigió el fallo
Guardio informó el problema a Adobe y señaló que la compañía reaccionó rápidamente. La vulnerabilidad fue corregida y se publicó una actualización. El identificador asignado fue CVE-2026-48294, descrito como un problema de divulgación de datos entre orígenes.
Esto reduce el riesgo para quienes tienen la versión actualizada. La noticia no debe provocar pánico ni llevar a desinstalar cualquier producto de Adobe sin revisar primero. La acción correcta es confirmar que Chrome y la extensión estén actualizados.
En entornos empresariales, los administradores deberían revisar la versión instalada en todos los equipos, forzar la actualización y limitar extensiones innecesarias. También conviene investigar si hubo navegación hacia dominios sospechosos durante el período vulnerable.
Cómo revisar la extensión de Adobe Acrobat
- Abre Chrome y escribe chrome://extensions en la barra de direcciones.
- Activa temporalmente el modo desarrollador si necesitas ver el número completo de versión.
- Localiza Adobe Acrobat y confirma que provenga del desarrollador oficial.
- Pulsa actualizar desde el panel de extensiones o reinicia Chrome para recibir la versión más reciente.
- Elimina extensiones duplicadas, desconocidas o que ya no utilizas.
- Revisa qué permisos tiene cada extensión y limita el acceso a sitios cuando sea posible.
Después de actualizar, se recomienda cerrar completamente el navegador y volver a abrirlo. En computadores compartidos, cada perfil de Chrome debe revisarse por separado.
Qué hacer dentro de WhatsApp
- En el teléfono, abre WhatsApp y revisa la sección Dispositivos vinculados.
- Cierra cualquier sesión que no reconozcas o que ya no uses.
- Comprueba la hora y el tipo de navegador de las sesiones activas.
- Activa la verificación en dos pasos de WhatsApp y configura un correo seguro.
- No escanees códigos QR enviados por páginas o supuestos soportes técnicos.
- Evita mantener WhatsApp Web abierto permanentemente en equipos compartidos.
Cerrar sesiones vinculadas no corrige una extensión desactualizada, pero reduce la superficie de exposición y permite detectar accesos extraños. La verificación en dos pasos también ayuda frente a intentos de registrar el número en otro dispositivo, aunque no bloquea por sí sola ataques que lean la pantalla del navegador.
Señales de una página maliciosa
El ataque podía ocultarse detrás de páginas que parecían resultados de búsqueda, promociones, documentos o herramientas legítimas. Por eso una apariencia profesional no es prueba de seguridad. Se debe desconfiar de dominios con palabras añadidas, subdominios engañosos, errores de ortografía y solicitudes inesperadas para abrir WhatsApp Web.
También es sospechoso que una página pida mantener una sesión abierta, desactivar la protección del navegador o instalar otra extensión para continuar. Las páginas legítimas no necesitan pedir códigos de WhatsApp ni mostrar un QR para una supuesta verificación de identidad.
Las herramientas de protección del navegador, DNS seguro y filtros de reputación ayudan, pero el control principal sigue siendo actualizar y reducir la cantidad de extensiones.
La lección para el cifrado de extremo a extremo
El cifrado protege el trayecto del mensaje entre emisor y receptor. Cuando el mensaje llega al dispositivo correcto, debe descifrarse para poder mostrarse. Si el dispositivo, el navegador o una extensión pueden ser manipulados, el contenido visible queda expuesto desde el extremo.
Por eso la seguridad de WhatsApp no depende únicamente de Meta. También depende del sistema operativo, el navegador, las extensiones, las sesiones vinculadas y los hábitos del usuario. Una cuenta puede tener cifrado fuerte y, aun así, perder privacidad por una captura de pantalla, software espía o acceso físico.
El caso HermeticReader demuestra que las integraciones entre servicios deben aplicar controles estrictos de origen, permisos mínimos y validación de mensajes internos.
Preguntas frecuentes
¿Debo desinstalar Adobe Acrobat de Chrome?
No necesariamente. Adobe corrigió la vulnerabilidad. Lo prioritario es actualizar la extensión y confirmar que sea la versión oficial.
¿La falla rompió el cifrado de WhatsApp?
No. La cadena podía leer contenido ya visible y descifrado dentro de WhatsApp Web mediante una extensión vulnerable.
¿El ataque afectaba el teléfono?
El vector descrito se centraba en Chrome y WhatsApp Web. El teléfono sigue siendo importante para revisar y cerrar dispositivos vinculados.
¿Cómo sé si fui afectado?
No existe una señal simple y definitiva. Revisa historial, extensiones, sesiones vinculadas y actividad sospechosa. En empresas puede requerirse análisis forense.
¿La vulnerabilidad sigue activa?
Adobe publicó una corrección en junio de 2026. Los equipos que no hayan actualizado podrían conservar una versión vulnerable.
Conclusión
La vulnerabilidad de la extensión de Adobe Acrobat no significa que WhatsApp haya perdido su cifrado, pero sí recuerda que el navegador es parte de la cadena de seguridad. Actualizar Chrome y sus extensiones, eliminar complementos innecesarios y revisar los dispositivos vinculados puede prevenir una gran cantidad de ataques. La protección de una conversación termina siendo tan fuerte como el dispositivo y las herramientas que la muestran.
No responses yet