Een kwetsbaarheid in de Adobe Acrobat browser-extensie voor Google Chrome maakt het mogelijk voor aanvallers en malafide websites om toegang tot gesprekken te krijgen die gebruikers via WhatsApp Web voeren, alsmede hun contacten. De enige vereiste is dat de gebruiker een gehackte of malafide website bezoekt en een kwetsbare versie van de Acrobat Chorme-extensie geïnstalleerd heeft. De extensie telt 314 miljoen gebruikers.

Het probleem wordt veroorzaakt door een universal cross-site scripting (UXSS)-lek in de browser waardoor malafide sites de extensie kunnen gebruiken om data van WhatsApp Web te stelen. De Adobe-extensie beschikt over een 'integration engine' voor WhatsApp Web, waardoor het mogelijk is om PDF-documenten direct binnen de chat te openen en bewerken. Een malafide site kan deze engine activeren en vervolgens commando's geven om zo WhatsApp-gesprekken, contacten en andere privé-informatie op te slaan en terug te sturen.

Een aanvaller zou ook de QR-code voor het inloggen op WhatsApp Web kunnen vervangen door een eigen QR-code. Wanneer de gebruiker deze code scant krijgt de aanvaller toegang tot het WhatsApp-account. De kwetsbaarheid werd gevonden door cybersecuritybedrijf Guardio, dat het probleem (CVE-2026-48294) aan Adobe rapporteerde. Het softwarebedrijf bracht vervolgens een nieuwe versie van de extensie uit waarin het probleem is verholpen. De details van de kwetsbaarheid zijn vandaag openbaar gemaakt.