Il 22 luglio i ricercatori di Guardio Labs hanno reso pubblica una falla nell’estensione di Adobe Acrobat per Chrome — quella che molti hanno installato per aprire e convertire PDF nel browser, oltre 300 milioni di installazioni nel mondo. La vulnerabilità, siglata CVE-2026-48294 e battezzata HermeticReader, permetteva a una pagina web malevola di usare l’estensione come ponte per leggere chat, contatti e messaggi di WhatsApp Web. Senza clic, senza rubare password, senza cookie di sessione: bastava visitare il sito sbagliato con l’estensione attiva.
La buona notizia: Adobe ha corretto il problema nella versione 26.5.2.3, distribuita in automatico dal Chrome Web Store, e non risulta che la falla sia stata sfruttata in attacchi reali. La notizia utile per chi fa impresa, però, è un’altra — ed è il motivo per cui ne scriviamo.
Perché riguarda proprio le aziende
WhatsApp Web in una PMI non è chiacchiere: è l’archivio delle conversazioni con clienti e fornitori — ordini, preventivi, dati di consegna, a volte documenti e IBAN. Gira su PC dove le estensioni del browser si accumulano negli anni senza che nessuno le abbia mai censite. Un’estensione compromessa o difettosa vede quello che vedi tu: è software con accesso privilegiato, non un accessorio.
CVE-2026-48294: le versioni fino alla 26.5.2.2 potevano essere usate da una pagina malevola per leggere WhatsApp Web, senza interazione dell'utente. Fix nella 26.5.2.3, distribuito in automatico dal Chrome Web Store.
Fonte: Guardio Labs, BleepingComputer, SecurityWeek — 22 luglio 2026
I due controlli da fare questa settimana
Primo: verifica la versione. Su ogni PC dove si usano Chrome e WhatsApp Web, digita chrome://extensions nella barra degli indirizzi, attiva la “Modalità sviluppatore” in alto a destra e cerca Adobe Acrobat: la versione deve essere 26.5.2.3 o superiore. Se il browser resta aperto per settimane, gli aggiornamenti automatici possono restare in coda: un riavvio di Chrome forza l’allineamento. Trenta secondi a postazione.
Secondo: censisci le estensioni. Sempre da chrome://extensions, guarda l’elenco completo su ogni PC aziendale e applica la regola più vecchia della sicurezza: quello che non serve, si toglie. Estensioni installate per un’esigenza di tre anni fa, doppioni, strumenti mai usati: ogni voce in meno è superficie d’attacco in meno. Per quelle che restano, vale la domanda che si fa per qualsiasi software: chi la mantiene, a cosa ha accesso, serve davvero?
Si installano in un clic e si dimenticano per anni, ma vedono quello che vede l'utente: pagine, moduli, sessioni web. Vanno trattate come i programmi: inventario, aggiornamenti, rimozione di ciò che non serve.
In breve
La falla CVE-2026-48294 nell’estensione Chrome di Acrobat permetteva a siti malevoli di leggere WhatsApp Web; il fix (26.5.2.3) è già distribuito e non risulta sfruttamento attivo. Le due mosse: verificare la versione sui PC dove gira WhatsApp Web e approfittarne per censire tutte le estensioni installate in azienda, eliminando quelle inutili. Le estensioni del browser sono software a tutti gli effetti — e meritano la stessa igiene.