Adobe Acrobat Chrome 拡張機能の脆弱性「HermeticReader」(CVE-2026-48294)、WhatsApp Webの会話内容を丸ごと窃取可能に-3億2,900万ブラウザに影響、修正済み|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

イスラエルのセキュリティ企業Guardio Labsは2026年7月22日、Adobe Acrobat Chrome拡張機能に存在する脆弱性の連鎖「HermeticReader」(CVE-2026-48294)の詳細を公開しました。この脆弱性を悪用されると、攻撃者が用意した悪意あるWebページを被害者が訪問するだけで、同じブラウザで開かれているWhatsApp Webのチャットリスト・連絡先名・メッセージ内容・プロフィール名を、一切の認証なしに攻撃者のサーバーへ送信することが可能になります。影響を受けるのはAdobe Acrobat Chrome拡張機能のバージョン26.5.2.2以前で、約3億2,900万のブラウザにインストールされています。GuardioはAdobe社のPSIRT(製品セキュリティインシデント対応チーム)に責任ある開示を行い、Adobeは公開前の同一週末中にパッチを作成・配布しました。修正版(26.5.2.3)は既にユーザーに自動配信されています。Guardio Labs主任研究者のNati Tal氏は、CVE-2026-48294の実際の悪用は確認していないと述べています。

サマリー

Adobe Acrobat Chrome拡張機能に存在する3つの脆弱性が連鎖するHermeticReaderが発見されました(CVE-2026-48294、CVSS 7.4)
攻撃者が用意したページを訪問するだけで(ユーザーの追加操作不要)、同一ブラウザで開いているWhatsApp Webのチャットリスト・連絡先名・メッセージ内容・プロフィール名を窃取できます
セッションクッキーや認証情報は一切不要で、WhatsApp自体の脆弱性でもなく、Adobe拡張機能の権限管理の不備が原因です
Guardio Labsの研究者Shaked Biner氏は、Adobeが2026年6月3日に拡張機能をアップデートして導入したWhatsApp連携機能をAIを活用した解析ツールで調べ、更新からわずか4時間以内に脆弱性を発見しました
影響を受けるバージョンは26.5.2.2以前で、修正版の26.5.2.3は自動配信済みです。ユーザーはバージョンを手動確認することが推奨されています
Adobeは今回の脆弱性をコンシューマー向け製品のセキュリティ情報として公式のセキュリティ情報は発行しないとしつつ、問題の存在を認め週末中に修正版を配布するという迅速な対応を取ったとGuardioは評価しています
本稿執筆時点で実際の悪用は確認されていません

整理表

項目	内容
脆弱性名	HermeticReader
CVE番号	CVE-2026-48294
CVSSスコア	7.4
脆弱性の種別	UXSS(Universal Cross-Site Scripting)クラスの脆弱性連鎖によるクロスオリジンデータ開示
発見者	Shaked Biner氏(Guardio Labs研究者)
公表日	2026年7月22日
影響を受ける製品	Adobe Acrobat PDF Extension for Chrome バージョン26.5.2.2以前
拡張機能のID	efaidnbmnnnibpcajpcglclefindmkaj
インストール数	約3億2,900万ブラウザ
修正版	26.5.2.3(自動配信済み)
窃取できる情報	WhatsApp Webのチャットリスト・連絡先名・メッセージの可視テキスト・プロフィール名・開いている会話の内容
窃取できない情報	画面に表示されていない未ロードのメッセージ、暗号化された生のメッセージペイロード
攻撃の前提条件	被害者が拡張機能をインストール済みで、攻撃者が用意したページを訪問すること
実際の悪用	本稿執筆時点で確認されていない(Guardio Labs)

HermeticReaderとは-PDFツールがWhatsAppの窓口になる仕組み

Adobe Acrobat Chrome拡張機能は、ブラウザ上でPDFを表示・編集する機能に加え、2026年6月3日のアップデートからWhatsApp Webとの連携機能が追加されています。WhatsApp経由でやり取りされたPDFを開いたり、操作を返したりするための橋渡し役として、Hermesという内部エンジンが導入されました。Hermesは通常は休眠状態にあり、拡張機能内部のストレージに特定のフラグが立った時だけ起動します。

Guardioが発見したのは、このHermesエンジンを外部から悪意あるコマンドで動かせてしまう、3つの脆弱性の連鎖です。第一の問題は、拡張機能のWeb公開リソース(内部のHTMLページ)がどのWebページからでもiframeとして読み込めてしまう点です。第二の問題は、そのHTMLページがURLパラメータ経由でコマンドを受け取り、拡張機能のサービスワーカー(バックエンド)に転送する際に、送信元が正規のAdobeのコンテンツスクリプトか外部のページかを検証しない点です。第三の問題は、WhatsAppのタブIDが予測可能であり、攻撃者が特定のIDを指定してWhatsApp Webのタブに向けてコマンドを送り込めてしまう点です。

この3つが連鎖することで、攻撃者が用意した任意のページを被害者が訪問した瞬間に、拡張機能の持つブラウザ上の特権的な権限が乗っ取られ、WhatsApp Webのタブが攻撃者のコマンドを実行する状態になります。これはGuardioが「認証不要・単一ページ訪問・ゼロクリックで拡張機能の内部ストレージへの書き込みが可能」と表現する、極めて成立しやすい攻撃条件です。

データ窃取の実際の手口-フォームインジェクションとCSPの盲点

Guardioの研究者が実際に示したデータ窃取の手口は技術的に独創的です。Hermesエンジンを通じてWhatsApp WebのDOM(文書オブジェクトモデル)を操作できる状態になると、攻撃者はまずWhatsApp Webのページに非表示のフォームを挿入します。次に、WhatsAppのページの本体(チャットリストや現在の会話内容を含む)ごと、そのフォームの中の「option」要素に移動させます。ここで巧妙なのが、value属性を定義しないoptionタグを使っている点で、valueが未定義のoptionはフォーム送信時にテキストコンテンツをそのまま送信する仕様があります。さらに、WhatsApp Webのコンテンツセキュリティポリシーにフォームのクロスオリジン送信先を制限するform-action制限がなかったため、ブラウザはページのすべての表示テキストを攻撃者のサーバーに向けて送信してしまいます。

このフォーム送信自体は悪意あるスクリプトの実行ではなく、ブラウザの正規のDOM操作を使った通常のフォーム送信です。この点が、コンテンツセキュリティポリシーによるスクリプト制限をすり抜けることを可能にしています。当サイトで既報のChrome AI拡張機能SiderAI・MaxAIで確認されたUXSS脆弱性でも、拡張機能のcontent-scriptからGmail・カレンダー・AIの会話履歴までが同一クラスの脆弱性で窃取されるリスクが報告されていましたが、今回はPDFツールがWhatsAppの会話窓口として機能するという、機能統合が新しい攻撃対象を生み出す構造を改めて示しています。

アカウント乗っ取りの追加シナリオ-QRコードの差し替え

Guardioはデータ窃取のほかに、WhatsApp アカウントの乗っ取りシナリオも示しています。同じDOM操作機能を使って、WhatsApp Webのデバイスリンク画面に表示されるQRコードを攻撃者が用意したものに差し替えることが可能です。被害者がこの差し替えられたQRコードをスマートフォンでスキャンしてしまうと、攻撃者のデバイスでWhatsAppアカウントが有効化されてしまいます。

ただしこのシナリオでは、被害者がQRコードのスキャンという追加の操作を行う必要があります。QRコードを見慣れた利用者は見た目の違いに気づく可能性があるため、データ窃取のシナリオと比べて成立のハードルが高いとGuardioは指摘しています。

AIを使った脆弱性発見-公開から4時間での検知

今回のHermeticReaderは、脆弱性を「どのように発見したか」という点でも注目に値します。Guardioの研究者Shaked Biner氏は、Adobeが2026年6月3日に拡張機能のバージョン26.5.2.1を配信した後、社内で開発したAI活用の解析プラットフォームを使って、この更新から4時間以内に新しい攻撃対象の存在を特定しました。このプラットフォームは、拡張機能の更新を比較し、コードを復号し、新たに導入された攻撃経路を自動でハイライトしたうえで人間が手動で確認するという設計になっています。当サイトで既報のGoogle GTIGがGemini APIを悪用した新型マルウェアHONESTCUEやAIによる脆弱性発見を報告した記事や、GPT-5.6がWordPressのRCE脆弱性を10時間で発見した事案と同様に、今回もAIが防御側の脆弱性発見を劇的に加速させた事例として位置づけられます。Guardioは「AIがスピードと効率のすべての記録を塗り替えただけでなく、この分野全体を変えている」と述べています。

Adobeの対応-公開前の週末中にパッチを配信

今回の事案でとりわけ際立つのがAdobeの対応速度です。GuardioがAdobeのPSIRTに脆弱性を報告した後、Adobeは同じ週末中に問題を確認し修正版を開発して26.5.2.3を配信しました。Guardioは3億2,900万以上のブラウザにインストールされた拡張機能における緊急性にふさわしい対応だったと、Adobeの迅速な行動を称えています。Adobeはコンシューマー向け製品についてセキュリティ情報を一般に発行しないという方針を持ちながらも、今回は問題の存在を認めた点も特記されています。なお、Adobeは拡張機能に関してConsumer Product Security Bulletin(セキュリティ情報)を発行しないことが一般的です。

情報システム部門への示唆

今回のHermeticReaderが示す構造的な問題は、機能統合が予期せぬ攻撃対象を生み出すという点です。Adobe Acrobat拡張機能はPDFの表示・編集ツールとして導入されているものですが、WhatsApp連携機能が追加された瞬間に、そのPDFツールはWhatsApp Webへの特権的な窓口にもなりました。拡張機能のアップデートによって新たな機能が追加されたとき、追加された機能の攻撃対象としての側面が組織の既存のセキュリティ評価の外側に置かれるリスクは、今回のように短期間での攻撃対象の出現につながります。

当サイトで既報の287個のChrome拡張機能が閲覧履歴を外部送信していた事案やChrome拡張機能Claude in Chromeの脆弱性でも触れてきたとおり、ブラウザ拡張機能はインストールされた後も定期的なセキュリティ評価の対象から外れやすく、特権的なブラウザ権限を持ちながら更新のたびに機能が変化するという性質が、管理コストを高めています。今回は修正済みで実際の悪用も確認されていませんが、組織として取るべき対応として以下を挙げます。

まず、Adobe Acrobat Chrome拡張機能をバージョン26.5.2.3以降に更新してください。Chromeは通常自動更新を行いますが、再起動しないと反映されないため、拡張機能の設定画面から実際のバージョンを確認することを推奨します。次に、業務上必要のないブラウザ拡張機能を整理し、広範なブラウザ権限を持つ拡張機能の数を最小限に保つことが、この種のリスクを低減する根本的な対策です。さらに、Chromiumベースのブラウザ全般(Microsoft Edge、Brave、Operaなど)でも同じAdobe拡張機能が使われている場合は同様の確認が必要です。先日公表したGoogle Chrome 12件の脆弱性修正(バージョン150.0.7871.181/.182)とあわせて、ブラウザ本体と拡張機能の両方の更新状況を確認しておくことをお勧めします。