Satu halaman web berbahaya sempat cukup untuk membaca bagian WhatsApp Web yang sedang tampil di browser korban. Tidak perlu mencuri password, session cookie, atau memasang malware. Jalur masuknya justru berasal dari ekstensi Adobe Acrobat untuk Chrome yang terpasang di ratusan juta browser.
Kerentanan ini diberi nama HermeticReader oleh Guardio Labs dan tercatat sebagai CVE-2026-48294. Adobe sudah menutup celahnya. Namun kasus ini penting karena menunjukkan risiko yang sering terlewat: ekstensi browser tepercaya dapat menjadi jembatan antarsitus ketika permission dan jalur komunikasinya terlalu longgar.
Status per 24 Juli 2026: CVE-2026-48294 memengaruhi Adobe Acrobat PDF Extension untuk Chrome versi 26.5.2.2 dan sebelumnya. Chrome Web Store saat artikel ini ditulis sudah menyediakan versi 26.7.2.0, diperbarui 21 Juli 2026.
Apa yang sebenarnya bisa dicuri
Menurut deskripsi resmi di NVD, CVE-2026-48294 adalah kerentanan UXSS-class cross-origin data disclosure. Eksploitasi membutuhkan interaksi pengguna: korban harus membuka URL yang dibuat penyerang atau berinteraksi dengan halaman yang sudah dikompromikan.
Jika korban sudah login ke WhatsApp Web, proof of concept Guardio dapat mengambil teks yang sedang dirender di halaman, termasuk:
- daftar chat dan nama kontak;
- preview pesan;
- nama profil;
- isi percakapan yang sedang terbuka dan terlihat;
- kode OTP atau informasi sensitif lain jika tampil di area yang terbaca.
Batas dampaknya perlu dijelaskan dengan tepat. Temuan ini menunjukkan pengambilan rendered DOM text, bukan akses bebas ke seluruh database WhatsApp atau pencurian session cookie. Meski begitu, teks yang terlihat di layar sering kali sudah cukup sensitif untuk dipakai dalam penipuan, account recovery abuse, atau serangan lanjutan.
Kenapa satu kunjungan ke website bisa berbahaya
Ekstensi browser bekerja dengan privilege yang berbeda dari halaman web biasa. Ia dapat menjalankan content script, berkomunikasi dengan service worker, mengakses storage sendiri, dan berinteraksi dengan tab sesuai permission yang diberikan.
Pada kasus HermeticReader, masalahnya bukan satu baris kode tunggal. Guardio menemukan beberapa kelemahan yang dapat dirangkai:
- Halaman web dapat memuat resource ekstensi Adobe melalui iframe.
- Pesan dari resource tersebut diterima seperti pesan internal tepercaya.
- Service worker tidak memvalidasi identitas pengirim secara memadai.
- Penyerang dapat mengubah feature flag lokal untuk mengaktifkan engine integrasi WhatsApp bernama Hermes.
- Tab ID WhatsApp Web dapat diprediksi lalu dijadikan target perintah.
- Handler Hermes menerima operasi DOM yang terlalu permisif.
Rangkaian itu melewati batas same-origin yang normalnya mencegah satu situs membaca data situs lain. Inilah alasan NVD menyebut scope changed: kelemahan pada ekstensi Adobe dapat berdampak pada data session milik aplikasi web berbeda.
Cara data WhatsApp keluar tanpa mencuri cookie
Bagian teknis paling menarik ada pada metode exfiltration. Peneliti tidak perlu menjalankan JavaScript arbitrary di origin WhatsApp. Content Security Policy WhatsApp masih memblokir beberapa jalur script injection.
Sebagai gantinya, perintah DOM dari ekstensi dipakai untuk:
- menambahkan form
POSTke halaman WhatsApp Web; - memindahkan elemen
bodyyang sedang aktif ke dalam elemen form; - memanfaatkan perilaku HTML pada elemen
optiontanpa atributvalue; - mengirim text content dari DOM tersebut ke server penyerang.
Dengan kata lain, browser membuat WhatsApp Web mengirimkan teks yang sedang dirender. Serangannya memanfaatkan komposisi beberapa perilaku yang masing-masing terlihat biasa: messaging ekstensi, manipulasi DOM, form submission, dan aturan HTML.
Ini juga menjelaskan kenapa mengandalkan CSP saja tidak cukup. CSP membantu membatasi eksekusi script, tetapi tidak otomatis menghentikan penyalahgunaan API ekstensi atau operasi DOM yang sudah mendapat privilege.
Apakah WhatsApp yang diretas?
Tidak. Tidak ada bukti bahwa CVE-2026-48294 berasal dari kerentanan inti WhatsApp atau enkripsi end-to-end WhatsApp.
Masalahnya berada pada ekstensi Adobe Acrobat untuk Chrome dan cara engine integrasinya berkomunikasi dengan tab WhatsApp Web. Enkripsi end-to-end melindungi pesan saat transit dan pada jalur protokol yang dirancang WhatsApp. Setelah pesan didekripsi dan ditampilkan di browser pengguna, software lokal yang memiliki akses cukup tetap dapat membaca tampilan tersebut.
Perbedaan ini penting. Mengganti password WhatsApp saja tidak menutup jalur eksploitasi jika ekstensi browser yang rentan masih terpasang dan aktif.
Versi yang terdampak dan status patch
NVD mencatat versi Adobe Acrobat PDF Extension untuk Chrome 26.5.2.2 dan sebelumnya sebagai terdampak. The Hacker News menyebut skor CVSS 7,4 berdasarkan informasi CVE yang tersedia.
Guardio melaporkan temuan tersebut kepada Adobe setelah berhasil membuktikan rangkaian serangan end-to-end. Adobe melakukan triage dan mengirim perbaikan dalam waktu singkat. Halaman Chrome Web Store yang diperiksa pada 24 Juli 2026 menampilkan versi 26.7.2.0 dengan tanggal update 21 Juli 2026.
Versi yang tampil di Chrome Web Store dapat berubah setelah artikel ini diterbitkan. Patokan aman bukan menghafal versi terbaru, tetapi memastikan instalasi Anda sudah berada di atas 26.5.2.2 dan benar-benar menerima update.
Langkah yang perlu dilakukan sekarang
1. Cek versi ekstensi Adobe Acrobat
Buka:
chrome://extensions
Aktifkan Developer mode bila nomor versi belum terlihat, lalu cari Adobe Acrobat. Jika versinya 26.5.2.2 atau lebih lama, update segera melalui Chrome Web Store atau hapus ekstensi sampai update tersedia di perangkat tersebut.
2. Paksa Chrome memperbarui ekstensi
Di halaman chrome://extensions, gunakan tombol Update setelah Developer mode aktif. Tutup dan buka kembali browser, lalu periksa nomor versinya sekali lagi.
3. Hapus ekstensi yang tidak benar-benar dibutuhkan
Ekstensi dengan install base besar belum tentu relevan untuk setiap pengguna. Jika Anda hanya sesekali membuka PDF dan fitur bawaan browser sudah cukup, mengurangi jumlah ekstensi juga mengurangi attack surface.
Prinsip sederhananya: jangan memberi privilege permanen kepada software yang tidak lagi dipakai.
4. Audit extension policy di perangkat kantor
Untuk organisasi, update manual per pengguna tidak cukup. Tim IT perlu:
- membuat inventory ekstensi terpasang;
- membatasi extension allowlist;
- memantau versi melalui browser management;
- menghapus ekstensi yang tidak punya kebutuhan bisnis;
- menguji fitur integrasi baru sebelum rollout luas.
Kasus ini relevan bagi perusahaan yang membuka WhatsApp Web untuk customer service, sales, atau operasional. Isi chat dapat memuat data client, quotation, nomor telepon, kredensial sementara, dan percakapan internal.
5. Waspadai landing page dari email dan hasil pencarian
Eksploitasi tetap membutuhkan korban membuka halaman berbahaya atau halaman yang sudah dikompromikan. Update ekstensi adalah tindakan utama, tetapi kebiasaan membuka link tanpa verifikasi tetap memperbesar risiko dari celah browser lain di masa depan.
Pelajaran untuk tim engineering
HermeticReader bukan sekadar cerita tentang satu ekstensi. Temuan ini menunjukkan empat rule yang seharusnya menjadi baseline pengembangan browser extension:
- validasi
senderpada setiap message handler; - gunakan allowlist ketat untuk command, key storage, method, dan target origin;
- jangan memperlakukan web-accessible resource sebagai boundary tepercaya;
- anggap integrasi antartab sebagai jalur berisiko tinggi dan uji sebagai satu attack chain utuh.
Security review yang hanya melihat fungsi satu per satu dapat melewatkan risiko komposisi. Storage write yang terlihat kecil, feature flag internal, prediksi tab ID, dan DOM operation yang permisif baru berubah menjadi kebocoran data ketika disambungkan.
Kesimpulan operasional
CVE-2026-48294 sudah ditambal, jadi respons yang tepat bukan panik atau menyimpulkan WhatsApp dibobol. Cek versi ekstensi Adobe Acrobat sekarang, pastikan sudah lebih baru dari 26.5.2.2, dan hapus ekstensi tersebut jika tidak dibutuhkan.
Untuk perusahaan, jadikan kasus ini alasan konkret untuk mengelola ekstensi browser seperti software production: ada inventory, allowlist, update policy, dan review permission. Browser sudah menjadi tempat kerja utama. Ekstensi yang hidup di dalamnya juga harus masuk perimeter keamanan.
Sumber:
Founder Rama Digital. Menulis tentang digital marketing, web development, AI, dan sistem operasional untuk bisnis Indonesia.
Tentang Rama Digital