HermeticReader: Ketika Ekstensi Browser Menjadi Pintu Belakang WhatsApp Web
Celah HermeticReader adalah kerentanan kritis pada ekstensi Adobe Acrobat PDF di browser berbasis Chromium yang memungkinkan situs berbahaya mengakses data dan percakapan WhatsApp Web tanpa sepengetahuan pemilik akun, termasuk membaca isi chat, mencuri kontak, dan bahkan mengambil alih sesi dengan memanipulasi proses penautan perangkat.
Intinya: keamanan WhatsApp Web Anda saat ini lebih ditentukan oleh kesehatan ekstensi browser daripada oleh WhatsApp itu sendiri. HermeticReader, yang terdaftar sebagai CVE-2026-48294, memanfaatkan hak istimewa ekstensi Adobe Acrobat untuk menembus perlindungan same-origin browser dan membuka pintu ke tab WhatsApp Web yang sedang aktif. Serangan ini tidak butuh trik rumit; korban cukup mengunjungi satu situs berbahaya sambil login ke WhatsApp Web, tanpa perlu klik atau mengunduh apa pun. Dalam ekosistem di mana ekstensi sering dipasang asal-asalan, ini adalah alarm keras bahwa proteksi percakapan online kita rapuh jika browser dibiarkan penuh plugin tanpa pengawasan.
Bagaimana WhatsApp Web Bisa Diambil Alih Tanpa Anda Sadar
HermeticReader bekerja licik dalam beberapa tahap: situs berbahaya mengaktifkan mesin Hermes di dalam ekstensi Adobe Acrobat, mencari tab WhatsApp Web yang terbuka, lalu menyuntikkan formulir tersembunyi untuk menyalin seluruh konten halaman ke server penyerang. Begitu isi layar berpindah tangan, proteksi end-to-end encryption tidak banyak menolong, karena chat yang tampil di browser sudah dalam bentuk teks biasa yang bisa dibaca.
Dampaknya bukan sekadar intip-intip chat. Penyerang dapat membaca daftar percakapan, nama kontak, nama profil, isi pesan dari percakapan yang sedang terbuka, bahkan informasi sensitif seperti data kerja dan negosiasi bisnis yang Anda kirim lewat WhatsApp Web. Lebih mengkhawatirkan lagi, celah ini memungkinkan penggantian kode QR saat Anda menautkan perangkat baru; ketika Anda memindai QR palsu itu, sesi milik penyerang yang tersambung ke akun WhatsApp Anda. Ini adalah bentuk risiko penyadapan digital yang jauh lebih berbahaya karena pelaku bisa bertindak persis sebagai Anda, mengirim file berbahaya dan melanjutkan percakapan lama untuk menipu kontak dekat.
Siapa yang Terdampak dan Seberapa Serius Ancaman Ini?
Celah HermeticReader tidak menyasar semua orang secara acak; ada kombinasi kondisi yang harus terpenuhi. Pertama, Anda menggunakan Google Chrome atau browser berbasis Chromium lain seperti Microsoft Edge. Kedua, ekstensi Adobe Acrobat PDF dengan ID efaidnbmnnnibpcajpcglclefindmkaj terpasang dan aktif. Ketiga, Anda sedang login ke WhatsApp Web saat mengunjungi situs berbahaya. Versi yang rentan adalah Adobe Acrobat 26.5.2.2 dan sebelumnya, sementara 26.5.2.3 ke atas sudah menerima tambalan keamanan.
Ekstensi ini disebut terpasang di sekitar 329 juta browser di seluruh dunia, sehingga permukaan serangannya sangat luas. Walau belum ada laporan publik bahwa celah ini dieksploitasi secara aktif, sifat serangannya yang sunyi dan mudah dijalankan membuat ancamannya tidak boleh diremehkan. Di sini letak kesalahan pola pikir banyak pengguna: keamanan WhatsApp Web sering dipandang aman hanya karena ada enkripsi, padahal celah ekstensi browser bisa mengakali lapisan itu. Selama browser Anda adalah tempat berkumpulnya berbagai plugin rakus izin, keamanan WhatsApp Web akan tetap rapuh dan proteksi percakapan online hanya ilusi.
Langkah Mendesak: Audit Browser dan Kunci Akses WhatsApp Anda
Jika Anda peduli pada keamanan WhatsApp Web dan ingin mengurangi risiko penyadapan digital, langkah pertama adalah mengaudit browser sendiri. Buka chrome://extensions atau edge://extensions, cari ekstensi Adobe Acrobat PDF, lalu pastikan versinya minimal 26.5.2.3. Jika tidak benar-benar butuh, lebih aman menghapus ekstensi tersebut sama sekali untuk mengecilkan permukaan serangan. Di lingkungan perusahaan, tim IT seharusnya mulai meninjau semua ekstensi dengan izin mengakses semua situs dan membatasi pemasangan yang tidak dikelola melalui kebijakan perangkat.
Langkah kedua yang sering diabaikan: rutin cek menu Perangkat Tertaut (Linked Devices) di aplikasi WhatsApp ponsel Anda. Masuk ke Settings, pilih Linked Devices, dan periksa satu per satu device yang tercantum; jika menemukan browser, sistem operasi, waktu akses, atau perangkat yang asing, segera Log Out. Pemeriksaan berkala ini lebih penting daripada menunggu muncul aktivitas aneh seperti pesan terbaca sendiri atau chat yang tidak pernah Anda kirim. Menunda cek perangkat tertaut sama saja membiarkan pintu belakang terbuka lebar sementara Anda merasa aman.
Beralih ke Aplikasi Desktop: Benteng Tambahan untuk Percakapan Anda
Solusi paling masuk akal untuk jangka menengah adalah mengurangi ketergantungan pada WhatsApp Web di browser penuh ekstensi. Beralih ke aplikasi resmi WhatsApp untuk Windows atau macOS memindahkan percakapan Anda ke lingkungan terpisah yang tidak berbagi ruang dengan ekstensi Adobe Acrobat atau plugin lain yang berisiko. Ini bukan langkah dramatis, tapi strategi waras: kurangi titik lemah, bukan hanya tambal satu per satu setelah kejadian.
Aplikasi desktop membantu mengecilkan risiko celah ekstensi browser karena WhatsApp tidak lagi terpapar langsung pada kode pihak ketiga yang berjalan di tab. Dikombinasikan dengan pembaruan rutin ekstensi yang masih Anda gunakan, audit berkala izin plugin, serta kewaspadaan terhadap situs yang Anda kunjungi saat login ke WhatsApp Web, ini membentuk lapisan proteksi percakapan online yang jauh lebih sehat. Pada akhirnya, keamanan WhatsApp Web bukan urusan teknis semata, tapi pilihan kebiasaan: apakah Anda mau membiarkan ekosistem browser yang berantakan menentukan nasib semua percakapan pribadi dan bisnis Anda.
