Một lỗ hổng vừa được vá trong tiện ích Adobe Acrobat dành cho Chrome cho thấy rủi ro không chỉ nằm ở trang web đang mở, mà còn ở quyền mở rộng mà trình duyệt đã cấp cho extension. Theo The Hacker News và BleepingComputer, lỗ hổng được theo dõi là CVE-2026-48294, có điểm CVSS 7.4 và được nhóm Guardio Labs đặt tên HermeticReader.
Vấn đề đáng chú ý là một trang web độc hại có thể lợi dụng extension để truy cập dữ liệu đang được hiển thị trong WhatsApp Web mà không cần xác thực bổ sung. Điều này biến một tiện ích phổ biến, vốn được cài để xử lý PDF thuận tiện hơn, thành đường trung gian có thể chạm tới nội dung nhạy cảm trong một tab khác.
Điều gì đã xảy ra
Adobe Acrobat extension trên Chrome có lượng người dùng rất lớn và thường được tin cậy vì gắn với một thương hiệu phần mềm quen thuộc. Guardio Labs cho biết chuỗi lỗ hổng HermeticReader có thể cho phép trang độc hại tương tác với extension theo cách khiến dữ liệu đã render trong WhatsApp Web bị đọc lén.
The Hacker News ghi nhận Adobe đã phát hành bản vá cho CVE-2026-48294. BleepingComputer cũng nhấn mạnh rằng điểm nguy hiểm nằm ở việc dữ liệu hội thoại và nội dung hiển thị trong WhatsApp Web có thể bị truy cập mà không cần bước đăng nhập hay xác nhận mới từ người dùng.
Vì sao lỗ hổng này đáng chú ý
Trình duyệt hiện đại tách biệt website bằng nhiều lớp bảo vệ, nhưng extension lại thường có quyền rộng hơn trang web thông thường. Khi một extension được cấp quyền đọc, sửa hoặc tương tác với nội dung web, một lỗi logic trong extension có thể phá vỡ kỳ vọng bảo mật giữa các tab và dịch vụ.
Trong trường hợp này, dữ liệu WhatsApp Web có thể bao gồm nội dung trò chuyện, thông tin liên hệ, tài liệu, hình ảnh hoặc thông tin công việc đang hiển thị. Với người dùng doanh nghiệp, rủi ro không dừng ở quyền riêng tư cá nhân mà có thể kéo theo lộ thông tin nội bộ, kế hoạch kinh doanh hoặc dữ liệu khách hàng.
Người dùng nên làm gì
Người dùng Chrome cần cập nhật Adobe Acrobat extension lên phiên bản mới nhất, hoặc tạm gỡ extension nếu không thật sự cần thiết. Các tổ chức nên rà soát danh sách extension được phép cài đặt, giới hạn quyền theo chính sách trình duyệt quản trị tập trung và ưu tiên extension có nguồn gốc rõ ràng, cập nhật đều đặn.
Về mặt vận hành, đội ngũ bảo mật nên coi extension như một thành phần phần mềm có vòng đời riêng: cần kiểm kê, đánh giá quyền, theo dõi bản vá và loại bỏ extension không còn dùng. Những tài khoản dùng WhatsApp Web cho trao đổi công việc nhạy cảm cũng nên bật xác thực đa yếu tố cho tài khoản liên quan, khóa màn hình khi rời máy và tránh mở liên kết lạ trong cùng phiên làm việc.
Bài học rộng hơn cho bảo mật trình duyệt
Lỗ hổng HermeticReader nhắc lại một thực tế quen thuộc: một tiện ích nhỏ trên trình duyệt có thể trở thành điểm nối giữa dữ liệu cá nhân, ứng dụng nhắn tin và hệ thống doanh nghiệp. Khi các ứng dụng web ngày càng thay thế phần mềm truyền thống, quản trị extension cần được xem là một phần của quản trị thiết bị đầu cuối, không phải tùy chọn cá nhân của từng người dùng.
Cách phòng thủ hiệu quả nhất là giảm số extension không cần thiết, cập nhật tự động, chỉ cài từ nguồn chính thức và thường xuyên xem lại quyền truy cập. Với tổ chức, chính sách allowlist cho extension quan trọng hơn bao giờ hết, đặc biệt trên các máy dùng để truy cập email, ứng dụng cộng tác, quản trị hệ thống hoặc dữ liệu khách hàng.
VNCyberS tổng hợp từ The Hacker News, BleepingComputer, Adobe và Guardio Labs
Tiếng Việt
English