Conrado Sol
- 29 Nis 2026
- 120 Mesaj
Siber güvenlik araştırmacıları, yaklaşık 300 milyon kullanıcısı olan Adobe Acrobat Chrome eklentisindeki kritik bir güvenlik açığını detaylandırdı.
Guardio Labs’in “HermeticReader” adlı bu zafiyeti, CVE-2026-48294 olarak izlendi (CVSS 7.4). Açık, “evrensel çapraz site komut dosyası çalıştırma” (UXSS) sınıfından olup, kötü niyetli bir sayfa aracılığıyla tarayıcının aynı kaynak politikasını aşarak oturuma bağlı verilere farklı kaynaklardan erişime imkân tanıyor. Özellikle istismar edildiğinde saldırganın kullanıcı WhatsApp Web sohbetlerine erişimini sağlayabiliyor; tek gereken, hedef kullanıcının kötü amaçlı bir web sayfasını ziyaret etmesi.
Guardio Labs’ın tespitine göre saldırı zinciri şöyle işliyor: Saldırgan kontrollü bir web sayfası, Acrobat eklentisinin içindeki bir iframe öğesini çağırıyor. Bu iframeuzantının WhatsApp entegrasyon motoru (Hermes) için ayar değişiklikleri gönderiyor ve “floodgate-add” isimli gizli özellik bayrağını etkinleştiriyor. Ardından sayfa arka planda gizlice WhatsApp Web’i yeni bir sekmede açıyor. iframeaçılan WhatsApp sekmesinin kimliğini aldıktan sonra bu sekmeye yönelik komutları doğrudan Hermes motoruna iletiyor. Hermes motoru ise WhatsApp Web sayfasının DOM’una bir POST formu enjekte ederek sohbet listesi, mesajlar ve kişi verileri gibi bilgileri saldırgan sunucusuna gönderiyor. Bu şekilde sohbet listesi, kişi isimleri, mesaj önizlemeleri ve açık olan konuşmanın tüm metni de dâhil olmak üzere WhatsApp’taki tüm görünen veriler ele geçirilebiliyor.
Saldırgan kontrolündeki bir web sayfası, Acrobat eklentisi kaynaklarından yüklenen bir
iframe çağırır.
Bu
uzantının ayarlarını değiştirerek Hermes motorunu aktifleştirir; özellikle “floodgate-add” bayrağı açıldığında WhatsApp entegrasyonu etkinleşir.
Saldırgan sayfa, arka planda yeni bir sekmede WhatsApp Web’i açar.
WhatsApp sekmesinin kimliğini aldıktan sonra, bu sekmeye yönelik komutları doğrudan Hermes motoruna yollar.
Son olarak Hermes motoru, WhatsApp Web sayfasına bir POST formu enjekte eder ve böylece sohbet verilerini saldırganın kontrolündeki bir adrese gönderir.
Guardio Labs’ın raporuna göre bu zincir, kullanıcıdan hiçbir ek eylem gerektirmiyor: “Kullanıcı bir linke tıklar tıklamaz, malware yüklemeye, parola çalmaya veya oturum çerezine ihtiyaç kalmadan saldırganın tüm WhatsApp Web verilerine erişim mümkün hâle geliyor”. Yani mağdurun sadece özel olarak hazırlanan bir sayfayı ziyaret etmesi yeterli oluyor; ek hiçbir gizli yazılım yüklemesine veya kimlik çalınmasına gerek kalmıyor.
Adobe’ın geliştirdiği WhatsApp entegrasyonu özelliği, PDF’lerin WhatsApp Web üzerinde doğrudan açılmasını ve düzenlenmesini sağlıyordu. HermeticReader açığının temelinde, işte bu entegrasyon motorunun boş bırakılan güvenlik kontrolleri bulunuyor. Guardio Labs’a göre, uzantı servis çalışanı (service worker) içindeki denetim eksiklikleri, üçüncü taraf sayfaların eklenti depolama alanına yazmasına ve böylece Hermes motorunu kötüye kullanmasına imkân tanımış. Ardından, HTML form gönderme kuralları sömürülerek WhatsApp içeriği dışarı sızdırılmıştır. Örneğin bir <option> elementi değer içermeyen bir içerikle gönderildiğinde, tüm sayfanın metni tek bir değer olarak posta gönderilebiliyor ve WhatsApp Web’in içerik güvenlik politikasında form-action kuralı belirtilmediği için gönderilen form istediği bir kaynağa gidebiliyor.
Adobe, Guardio Labs tarafından bildirilen bu açığı hızla ele aldı. Araştırmacılar açığı 3 Haziran 2026’da yayımlanan eklenti güncellemesinde tespit ettiklerini ve çok kısa sürede Adobe’a rapor ettiklerini belirtiyor. Adobe, bildirimi takip eden hafta sonunda hatayı onaylayıp yama yayınladı. Resmi olarak CVE-2026-48294 tanımlaması verilen zafiyet, son olarak 26.5.2.2 sürümündeki eklentiyi etkiliyordu. Kullanıcılardan, Chrome Web Mağazası’ndan Acrobat eklentisini en yeni sürüme (26.5.2.3 veya üzeri) güncellemeleri istendi. Gerekli görüldüğü durumlarda, kurumsal yöneticiler eklentiyi kaldırabilir veya güncellemeleri zorunlu hale getirebilir.
Guardio Labs’in “HermeticReader” adlı bu zafiyeti, CVE-2026-48294 olarak izlendi (CVSS 7.4). Açık, “evrensel çapraz site komut dosyası çalıştırma” (UXSS) sınıfından olup, kötü niyetli bir sayfa aracılığıyla tarayıcının aynı kaynak politikasını aşarak oturuma bağlı verilere farklı kaynaklardan erişime imkân tanıyor. Özellikle istismar edildiğinde saldırganın kullanıcı WhatsApp Web sohbetlerine erişimini sağlayabiliyor; tek gereken, hedef kullanıcının kötü amaçlı bir web sayfasını ziyaret etmesi.
Guardio Labs’ın tespitine göre saldırı zinciri şöyle işliyor: Saldırgan kontrollü bir web sayfası, Acrobat eklentisinin içindeki bir iframe öğesini çağırıyor. Bu iframeuzantının WhatsApp entegrasyon motoru (Hermes) için ayar değişiklikleri gönderiyor ve “floodgate-add” isimli gizli özellik bayrağını etkinleştiriyor. Ardından sayfa arka planda gizlice WhatsApp Web’i yeni bir sekmede açıyor. iframeaçılan WhatsApp sekmesinin kimliğini aldıktan sonra bu sekmeye yönelik komutları doğrudan Hermes motoruna iletiyor. Hermes motoru ise WhatsApp Web sayfasının DOM’una bir POST formu enjekte ederek sohbet listesi, mesajlar ve kişi verileri gibi bilgileri saldırgan sunucusuna gönderiyor. Bu şekilde sohbet listesi, kişi isimleri, mesaj önizlemeleri ve açık olan konuşmanın tüm metni de dâhil olmak üzere WhatsApp’taki tüm görünen veriler ele geçirilebiliyor.
Saldırgan kontrolündeki bir web sayfası, Acrobat eklentisi kaynaklarından yüklenen bir
iframe çağırır.
Bu
Kod:
iframeuzantının ayarlarını değiştirerek Hermes motorunu aktifleştirir; özellikle “floodgate-add” bayrağı açıldığında WhatsApp entegrasyonu etkinleşir.
Saldırgan sayfa, arka planda yeni bir sekmede WhatsApp Web’i açar.
WhatsApp sekmesinin kimliğini aldıktan sonra, bu sekmeye yönelik komutları doğrudan Hermes motoruna yollar.
Son olarak Hermes motoru, WhatsApp Web sayfasına bir POST formu enjekte eder ve böylece sohbet verilerini saldırganın kontrolündeki bir adrese gönderir.
Guardio Labs’ın raporuna göre bu zincir, kullanıcıdan hiçbir ek eylem gerektirmiyor: “Kullanıcı bir linke tıklar tıklamaz, malware yüklemeye, parola çalmaya veya oturum çerezine ihtiyaç kalmadan saldırganın tüm WhatsApp Web verilerine erişim mümkün hâle geliyor”. Yani mağdurun sadece özel olarak hazırlanan bir sayfayı ziyaret etmesi yeterli oluyor; ek hiçbir gizli yazılım yüklemesine veya kimlik çalınmasına gerek kalmıyor.
Adobe’ın geliştirdiği WhatsApp entegrasyonu özelliği, PDF’lerin WhatsApp Web üzerinde doğrudan açılmasını ve düzenlenmesini sağlıyordu. HermeticReader açığının temelinde, işte bu entegrasyon motorunun boş bırakılan güvenlik kontrolleri bulunuyor. Guardio Labs’a göre, uzantı servis çalışanı (service worker) içindeki denetim eksiklikleri, üçüncü taraf sayfaların eklenti depolama alanına yazmasına ve böylece Hermes motorunu kötüye kullanmasına imkân tanımış. Ardından, HTML form gönderme kuralları sömürülerek WhatsApp içeriği dışarı sızdırılmıştır. Örneğin bir <option> elementi değer içermeyen bir içerikle gönderildiğinde, tüm sayfanın metni tek bir değer olarak posta gönderilebiliyor ve WhatsApp Web’in içerik güvenlik politikasında form-action kuralı belirtilmediği için gönderilen form istediği bir kaynağa gidebiliyor.
Adobe, Guardio Labs tarafından bildirilen bu açığı hızla ele aldı. Araştırmacılar açığı 3 Haziran 2026’da yayımlanan eklenti güncellemesinde tespit ettiklerini ve çok kısa sürede Adobe’a rapor ettiklerini belirtiyor. Adobe, bildirimi takip eden hafta sonunda hatayı onaylayıp yama yayınladı. Resmi olarak CVE-2026-48294 tanımlaması verilen zafiyet, son olarak 26.5.2.2 sürümündeki eklentiyi etkiliyordu. Kullanıcılardan, Chrome Web Mağazası’ndan Acrobat eklentisini en yeni sürüme (26.5.2.3 veya üzeri) güncellemeleri istendi. Gerekli görüldüğü durumlarda, kurumsal yöneticiler eklentiyi kaldırabilir veya güncellemeleri zorunlu hale getirebilir.
