Chi usa Sogou Input Method su Windows deve verificare subito la versione installata. La vulnerabilità CVE-2026-51990 è stata sfruttata in attacchi reali per distribuire la backdoor GRAYRABBIT dopo un solo clic su un link preparato ad hoc. Tencent ha corretto il percorso di attacco osservato a partire da Sogou Input Method 16.3.0.3498.
La falla è particolarmente rilevante perché non riguarda un programma marginale: Sogou Input Method è uno degli strumenti più diffusi per scrivere in cinese su Windows e conta centinaia di milioni di installazioni. I ricercatori di Gen Threat Labs hanno scoperto l’exploit durante l’analisi di un’intrusione attribuita al gruppo UNC3569.
CVE-2026-51990: chi è a rischio
Il problema interessa Sogou Input Method per Windows. Secondo la ricerca tecnica pubblicata da Gen Threat Labs, la vulnerabilità nasce dalla combinazione di tre debolezze: gestione non sicura di alcuni argomenti nel protocollo personalizzato sgbiz:, possibilità di aprire URL non autorizzati nel browser integrato e uso di un vecchio motore Chromium senza sandbox.
Il risultato è una catena di attacco che può partire da un link ricevuto via email, messaggio o pagina web. Se la vittima apre quel collegamento su un PC con la versione vulnerabile di Sogou, il software può essere indotto a caricare una pagina controllata dall’attaccante nel proprio browser incorporato.
| Voce | Dato utile |
|---|---|
| Vulnerabilità | CVE-2026-51990 |
| Software | Sogou Input Method per Windows |
| Impatto | Esecuzione di codice dopo il clic su un link preparato ad hoc |
| Sfruttamento reale | Sì, osservato da Gen Threat Labs |
| Malware distribuito | GRAYRABBIT |
| Versione corretta | 16.3.0.3498 o successiva |
Perché basta un clic sul link
Sogou registra in Windows il protocollo personalizzato sgbiz:. In condizioni normali serve a far comunicare i componenti dell’applicazione. Il problema era che uno dei parametri passati al gestore del protocollo non veniva validato correttamente.
Un attaccante poteva quindi costruire un link capace di avviare un componente legittimo di Sogou, aprire la sezione skincenter e ordinare al browser integrato di caricare un sito esterno. Quel browser era basato su Chromium 80, una versione del 2020, e funzionava senza la normale sandbox di sicurezza.
Nell’attacco osservato dai ricercatori, la pagina malevola sfruttava una vecchia vulnerabilità V8, CVE-2021-38003, compatibile con il motore Chromium obsoleto incluso nell’app. Questo passaggio consentiva l’esecuzione di codice con i privilegi dell’utente corrente e l’installazione della backdoor.
Cos’è GRAYRABBIT e cosa può fare
GRAYRABBIT è una backdoor modulare associata a UNC3569. Una volta eseguita sul sistema, può aprire un canale verso l’infrastruttura dell’attaccante e ricevere ulteriori comandi.
- eseguire processi sul PC;
- aprire una shell remota interattiva;
- caricare e scaricare file;
- raccogliere informazioni sul sistema e sull’utente;
- caricare moduli aggiuntivi direttamente in memoria;
- estendere le funzioni del malware senza sostituire l’impianto principale.
Questo non significa che ogni PC con Sogou sia già compromesso. Significa però che una versione vulnerabile espone un percorso già usato in attacchi reali, quindi l’aggiornamento ha una priorità molto più alta di una falla soltanto teorica.
Quale versione di Sogou Input Method corregge la falla
Gen Threat Labs ha segnalato il problema a Tencent il 9 aprile 2026. Tencent ha completato e distribuito la correzione il 21 aprile 2026 con Sogou Input Method 16.3.0.3498. La CVE è stata poi assegnata a luglio e la ricerca tecnica completa è stata pubblicata il 10 settembre.
La patch aggiunge controlli sugli argomenti URL accettati dal protocollo, limita la navigazione a HTTPS e applica una allowlist di domini collegati a Sogou e Tencent. Per chi usa il programma, la regola pratica è semplice: 16.3.0.3498 è la soglia minima indicata dalla ricerca; una versione più recente è preferibile.
Come controllare se devi aggiornare
- Apri Sogou Input Method sul PC Windows.
- Accedi alle informazioni o alla schermata che mostra la versione installata.
- Confronta il numero con 16.3.0.3498.
- Se hai una build precedente, usa il meccanismo di aggiornamento ufficiale di Sogou o scarica la versione corrente dal sito ufficiale.
- Dopo l’aggiornamento, riapri le informazioni del programma e verifica che il numero di versione sia cambiato.
Se il computer appartiene a un’azienda o a un ente, la verifica dovrebbe essere estesa all’inventario software: una tastiera o un metodo di input può sembrare un componente secondario, ma in questo caso incorpora un browser e un protocollo personalizzato utilizzabili come superficie d’attacco.
Hai cliccato un link sospetto con Sogou installato: cosa fare
Se hai una versione vulnerabile e ricordi di aver aperto link sgbiz: o messaggi sospetti, aggiornare il programma resta necessario ma non dimostra che il PC sia pulito. Una patch chiude il percorso per i tentativi successivi; non rimuove automaticamente una backdoor già installata.
- Disconnetti il PC dalla rete se presenta comportamenti anomali o se l’incidente è confermato.
- Aggiorna Sogou Input Method alla versione corrente da una fonte ufficiale.
- Aggiorna Windows e il software di sicurezza e avvia una scansione completa.
- In un ambiente aziendale, controlla EDR, processi, connessioni e persistenza prima di rimettere il sistema in produzione.
- Se emergono indicatori di compromissione, considera le credenziali usate sul PC potenzialmente esposte e gestisci il caso come un incidente di sicurezza.
Questo principio vale anche per le altre vulnerabilità già sfruttate: nella nostra guida alle zero-day Windows di settembre 2026 abbiamo distinto chiaramente tra installare la patch e verificare un’eventuale compromissione precedente.
Non basta evitare i link strani
L’attacco osservato richiede che la vittima apra un collegamento preparato dall’attaccante, quindi email e messaggi restano un vettore importante. Una buona regola è non aprire schemi URL insoliti o richieste di avvio di applicazioni se non sai esattamente perché il browser le sta proponendo.
La nostra guida per riconoscere phishing e link sospetti raccoglie i controlli utili prima di aprire collegamenti ricevuti via email o chat. In questo caso, però, la prudenza dell’utente non sostituisce la patch: un software con un protocollo vulnerabile deve comunque essere aggiornato.
Il browser interno resta un punto da monitorare
La correzione di Tencent blocca la catena di attacco documentata, ma Gen Threat Labs segnala un aspetto ancora importante: il browser incorporato resta basato su un motore Chromium molto vecchio e continua a funzionare senza sandbox. La patch restringe le destinazioni caricabili e valida gli argomenti, riducendo il percorso sfruttato dagli attaccanti, ma i ricercatori raccomandano ulteriore hardening del componente.
Per questo è preferibile non fermarsi alla sola soglia 16.3.0.3498 se Sogou propone una release più nuova. Mantenere il programma aggiornato consente di ricevere anche le correzioni successive che Tencent potrebbe distribuire per il browser integrato o per altri componenti.
Domande frequenti su CVE-2026-51990
CVE-2026-51990 è stata davvero sfruttata?
Sì. Gen Threat Labs afferma di aver osservato lo sfruttamento della vulnerabilità in un’intrusione reale attribuita a UNC3569 per installare GRAYRABBIT.
Serve un clic dell’utente?
Sì. La catena descritta parte dall’apertura di un link appositamente costruito. Dopo quel clic, però, l’attacco sfrutta i componenti di Sogou e il vecchio browser integrato per arrivare all’esecuzione di codice.
Quale versione devo avere?
La correzione del percorso di attacco osservato è stata distribuita con Sogou Input Method 16.3.0.3498. Se è disponibile una versione successiva, installa quella più recente.
Aggiornare elimina GRAYRABBIT?
No. Aggiornare chiude la vulnerabilità, ma non garantisce la rimozione di un malware già presente. Se sospetti un attacco riuscito, serve una verifica di sicurezza del sistema.
La verifica più importante è quindi immediata: se sul tuo Windows è installato Sogou Input Method, controlla la versione e aggiorna almeno alla 16.3.0.3498 o, meglio, alla release più recente disponibile. La vulnerabilità non è soltanto teorica e la campagna osservata dimostra che il percorso è già stato usato per ottenere accesso ai sistemi.
