Ein Klick, und WhatsApp Web lag offen

Eine Sicherheitslücke in Adobes Chrome-Erweiterung konnte Angreifern sichtbare Chats, Kontakte und Einmalcodes zugänglich machen. WhatsApp selbst war nicht gehackt, doch ein scheinbar harmloser Link hätte genügt.

Eine Erweiterung zum Lesen und Bearbeiten von PDF-Dateien wurde für kurze Zeit zum möglichen Einfallstor in private WhatsApp-Kommunikation. Sicherheitsforscher des israelischen Unternehmens Guardio entdeckten eine Schwachstelle in der offiziellen Adobe-Acrobat-Erweiterung für Google Chrome, die auf mehr als 300 Millionen Browsern installiert ist. Ein Angreifer hätte Nutzer lediglich auf eine präparierte Internetseite locken müssen. Schadsoftware, ein gestohlenes Passwort oder ein Angriff auf die Verschlüsselung von WhatsApp waren dafür nicht erforderlich.

Die Sicherheitslücke erhielt die Bezeichnung CVE-2026-48294 und wurde von Guardio „HermeticReader“ genannt. Adobe bestätigte die verantwortliche Meldung der Schwachstelle und veröffentlichte innerhalb kurzer Zeit eine korrigierte Version. Hinweise darauf, dass Kriminelle die Lücke tatsächlich gegen Nutzer eingesetzt haben, liegen bislang nicht vor. Dennoch zeigt der Fall, wie gefährlich Browser-Erweiterungen werden können, wenn sie Zugriff auf mehrere Dienste und weitreichende Berechtigungen besitzen.

WhatsApp wurde nicht geknackt

Der Angriff richtete sich nicht unmittelbar gegen WhatsApp. Betroffen war die Verbindung, die Adobe für eine neue Acrobat-Funktion in WhatsApp Web geschaffen hatte. Diese Funktion ermöglicht es, PDF-Dateien aus einer WhatsApp-Unterhaltung direkt in Acrobat zu öffnen, zu bearbeiten und anschließend wieder zu teilen. Sie wird laut Adobe schrittweise für Nutzer von Chrome und Microsoft Edge bereitgestellt.

Damit diese Zusammenarbeit funktioniert, darf die Erweiterung innerhalb des Browsers auf bestimmte Inhalte und Abläufe zugreifen. Genau an dieser Stelle fanden die Forscher mehrere Fehler, die sich zu einer Angriffskette verbinden ließen. Eine fremde Internetseite konnte Befehle so aussehen lassen, als stammten sie aus einem vertrauenswürdigen Teil der Adobe-Erweiterung. Anschließend ließ sich die interne WhatsApp-Funktion aktivieren und auf einen bereits geöffneten WhatsApp-Web-Tab ausrichten.

War ein Nutzer in WhatsApp Web angemeldet und öffnete zusätzlich die präparierte Seite, konnte der Angreifer auf Inhalte zugreifen, die der Browser in diesem Moment anzeigte oder bereits geladen hatte. Dazu gehörten die Liste sichtbarer Unterhaltungen, Namen von Kontakten, Profilangaben, geöffnete Nachrichten und weitere auf dem Bildschirm dargestellte Informationen. Nicht geladene oder nicht dargestellte Teile des gesamten Nachrichtenarchivs wurden nach der technischen Analyse nicht automatisch übertragen.

Diese Einschränkung ist wichtig. Die Formulierung, das „gesamte WhatsApp“ habe offengelegen, beschreibt das mögliche Ausmaß zugespitzt. Tatsächlich konnte der Angriff vor allem das auslesen, was WhatsApp Web im Browser bereits aufgebaut und sichtbar gemacht hatte. Das konnte dennoch hochsensible Informationen umfassen, darunter private Gespräche, Namen, Profilbilder und Einmalcodes, die über WhatsApp verschickt und auf dem Bildschirm angezeigt wurden.

Solche Codes sind besonders gefährlich. Viele Dienste senden Bestätigungsnummern zur Anmeldung oder zur Wiederherstellung eines Kontos. Gelangt ein Angreifer gleichzeitig an einen solchen Code und weitere Zugangsdaten, kann daraus die Übernahme eines Instagram-, Facebook- oder anderen Kontos entstehen. Die Adobe-Lücke allein verschaffte jedoch nicht automatisch Zugriff auf sämtliche fremden Konten.

Kein Download, kein verdächtiges Programm

Besonders beunruhigend war die Einfachheit des möglichen Angriffs. Die Opfer mussten keine Datei öffnen und kein unbekanntes Programm installieren. Eine präparierte Seite konnte über eine E-Mail, eine Kurznachricht, WhatsApp, Slack, Microsoft Teams oder eine manipulierte Werbeanzeige verbreitet werden. Die Seite selbst hätte wie ein gewöhnliches Angebot, eine Nachricht oder ein Suchergebnis aussehen können.

Die verwundbare Adobe-Erweiterung erledigte anschließend den entscheidenden Teil. Ihre Berechtigungen verliehen ihr Fähigkeiten, die eine normale Internetseite nicht besitzt. Browser trennen Webseiten üblicherweise voneinander. Eine Seite darf nicht einfach private Inhalte aus einer anderen geöffneten Seite lesen. Erweiterungen können solche Grenzen jedoch teilweise überschreiten, weil sie für ihre Aufgaben zusätzliche Rechte benötigen.

Der Vorfall zeigt deshalb ein wachsendes Sicherheitsproblem. Nutzer achten häufig darauf, welche Programme sie auf ihrem Rechner installieren. Browser-Erweiterungen werden dagegen oft mit wenigen Klicks hinzugefügt und anschließend vergessen. Manche dieser Erweiterungen besitzen Zugriff auf besuchte Webseiten, eingegebene Inhalte oder Dateien. Wird eine solche Erweiterung fehlerhaft programmiert oder später bösartig verändert, kann sie zu einer Brücke zwischen eigentlich getrennten Diensten werden.

Guardio entdeckte die Schwachstelle nach eigenen Angaben innerhalb weniger Stunden nach Veröffentlichung der betroffenen Adobe-Version 26.5.2.1 vom 3. Juni 2026. Ein eigenes System aus automatisierter Programmanalyse und menschlicher Prüfung untersuchte hunderte verschleierte Programmdateien und erkannte die neue Verbindung zu WhatsApp Web. Adobe reagierte nach der Meldung über das Verfahren zur verantwortlichen Offenlegung und stellte innerhalb eines Wochenendes eine korrigierte Fassung bereit.

Betroffen waren nach Angaben der Forscher Version 26.5.2.1 und ältere Fassungen. Behoben wurde die Schwachstelle mit Version 26.5.2.3. Inzwischen zeigt der Chrome Web Store bereits eine deutlich neuere Version der offiziellen Adobe-Erweiterung an. Die Aktualisierung wird bei Chrome normalerweise automatisch verteilt. Nutzer sollten sich darauf jedoch nicht blind verlassen.

Wer die Erweiterung installiert hat, kann in Chrome die Adresse chrome://extensions öffnen, den Entwicklermodus einschalten und die angezeigte Version kontrollieren. Eine alte Fassung sollte sofort aktualisiert oder entfernt werden. Wer die Acrobat-Funktionen im Browser nicht benötigt, kann die Erweiterung auch vollständig deinstallieren. Danach empfiehlt es sich, Chrome neu zu starten.

Der Fall ist keine Geschichte über einen erfolgreichen Angriff auf Millionen Menschen. Guardio und Adobe kennen bislang keine nachgewiesenen Opfer. Es handelt sich um eine Demonstration dessen, was möglich gewesen wäre. Gerade das macht den Fund wertvoll: Die Lücke wurde geschlossen, bevor sie nachweislich zu einem massenhaften Datendiebstahl führte.

Trotzdem darf die Entwarnung nicht über die grundsätzliche Gefahr hinwegtäuschen. Eine Erweiterung mit hunderten Millionen Installationen konnte private Informationen aus einem der meistgenutzten Kommunikationsdienste der Welt auslesen. Nicht weil WhatsApp seine Verschlüsselung verloren hatte, sondern weil ein anderer Dienst im selben Browser zu viele Möglichkeiten erhielt.

Die schwächste Stelle liegt nicht immer dort, wo die wertvollsten Daten gespeichert werden. Angreifer suchen den Umweg. In diesem Fall führte er nicht durch WhatsApp, sondern durch ein Werkzeug, das eigentlich nur den Umgang mit PDF-Dateien erleichtern sollte.

Autor: Redaktion
Donnerstag, 23 Juli 2026