Publicado: julio 24, 2026, 9:00 am
Millones de personas utilizan WhatsApp Web a diario desde el ordenador y muchas también tienen instalada una extensión conocida como Adobe Acrobat para abrir y editar archivos PDF en Chrome. Precisamente, esta compañía y Meta han anunciado una integración para poder editar PDF en WhatsApp sin necesidad de salir de la conversación, aunque ese no es el tema principal. Lo que ha ocurrido es que un fallo de seguridad descubierto en la extensión para el navegador ha demostrado que una simple visita a una página web maliciosa podía poner en peligro la privacidad de las conversaciones.
Desde TechRadar informan de que la vulnerabilidad, identificada como «CVE-2026-48294» y bautizada por los investigadores de Guardio Labs como HermeticReader, no afectaba a WhatsApp ni a su cifrado de extremo a extremo. El fallo se encontraba en la extensión oficial de Adobe Acrobat para Chrome que, debido a los permisos especiales con los que funciona dentro del navegador, podía ser utilizada como puerta de entrada para acceder a la información de WhatsApp Web.
Cómo funcionaba el ataque
Explican que el ataque solo era posible si coincidían varias circunstancias: utilizar Google Chrome o cualquier navegador pesado en Chromium que tenga instalada la versión vulnerable de la extensión de Adobe Acrobat y mantener abierta una sesión de WhatsApp mientras se visitaba una página preparada por los atacantes. Esta web maliciosa podía hacerse pasar, por ejemplo, por un resultado de búsqueda de Google para engañar al usuario. Una vez dentro de la página, aprovechaba varios fallos de comunicación interna para activar un componente llamado Hermes, que era el encargado de la integración con WhatsApp Web.
Gracias a él, los ciberdelincuentes podían introducir el código de forma silenciosa en la pestaña de WhatsApp y acceder a datos como la lista de conversaciones, los nombres de los contactos, nombres de perfil o el contenido del chat que estuviera abierto en ese momento. Todo ello sin necesidad de instalar malware ni de robar contraseñas. Adobe recibió el aviso a principios de junio de 2026 y publicó rápidamente un parche que corrige el problema.
Ya hay una versión protegida
La vulnerabilidad afecta a las versiones 26.5.2.2 y anteriores de la extensión, mientras que la 26.5.2.3 ya está protegida. Los expertos recomiendan que, para evitar este tipo de amenazas, hay que comprobar que todas las decisiones del navegador están actualizadas, eliminar aquellas que no sean necesarias o que no procedan de fuentes fiables, además de revisar con frecuencia los dispositivos vinculados para cerrar sesión en los que ya no se utilicen o sean desconocidos.
