В методе ввода Tencent Sogou обнаружена серьёзная уязвимость, которую хакеры активно эксплуатируют для установки бэкдоров.

Организация по кибербезопасности Gen Threat Labs 14 сентября сообщила о серьёзной уязвимости CVE-2026-51990 в версии Tencent Sogou Input Method для Windows. Уязвимость объединяет три недостатка безопасности: злоумышленнику достаточно заставить жертву кликнуть по специально созданной ссылке, чтобы выполнить произвольный код на уровне системы; связанная с Китаем группировка угроз UNC3569 уже использовала уязвимость для развёртывания бэкдора GrayRabbit.

Технический механизм цепочки из трёх уязвимостей CVE-2026-51990

Sogou Input Method использует пользовательскую схему протокола под названием sgbiz. При открытии соответствующего URL обработчик протокола biz_helper.exe анализирует URL и передаёт его соответствующему компоненту. CVE-2026-51990 задействует три последовательно срабатывающих недостатка: во-первых, во время разбора URL обработчик протокола не очищает и не проверяет параметр «param», который управляет аргументами командной строки, передаваемыми исполняемому файлу, что позволяет злоумышленнику внедрить аргументы командной строки и указать страницу «skincenter»; во-вторых, другая функция напрямую копирует эту страницу и без ограничений передаёт её браузеру; в-третьих, встроенный в Sogou Input Method движок Chromium основан на версии Chromium 80, выпущенной в марте 2020 года, и не содержит исправлений безопасности примерно за шесть лет. Песочница полностью отключена, дополнительные меры защиты, включая политику одного источника, удалены, а URL позволяет читать другие локальные файлы.

После объединения этих трёх недостатков злоумышленник отправляет жертве специально созданный URL sgbiz://, и одного клика достаточно для запуска произвольного кода на уровне системы.

Факты активной эксплуатации UNC3569 и возможности бэкдора GrayRabbit

Gen Threat Labs заявила: «Мы наблюдали, как группировка угроз UNC3569 активно эксплуатирует эту уязвимость, разворачивая бэкдор GrayRabbit с помощью специально созданных ссылок». Бэкдор GrayRabbit непрерывно обнаруживается в атаках злоумышленников с 2021 года. Он предоставляет атакующим обратную оболочку и обладает следующими возможностями:

Выполнение процессов: выполнение произвольных системных процессов в системе жертвы

Загрузка плагинов: динамическая загрузка дополнительных модулей атаки

Взаимодействие с интерактивной оболочкой: передача команд и данных в интерактивную оболочку

Загрузка файлов: отправка файлов жертвы на сервер управления и контроля (C&C)

Сбор системной информации: сбор сведений о системном окружении жертвы

Самозавершение: завершение собственной работы при необходимости для уклонения от обнаружения

Статус исправления: в Sogou 16.3.0.3498 проверка протокола исправлена, однако конфигурация базового Chromium по состоянию на 10 сентября не обновлялась

Tencent устранила CVE-2026-51990 в версии Sogou Input Method 16.3.0.3498 и распространила исправление среди всех пользователей через механизм автоматического обновления; в этом исправлении в обработчик протокола добавлена проверка переключателей, содержащихся в URL. Gen Threat Labs отмечает, что исправление устраняет возможность внедрения через параметр «param», однако конфигурация базового Chromium по состоянию на 10 сентября всё ещё не обновлялась. Это означает, что в обновлённой версии по-прежнему сохраняются такие проблемы конфигурации, как устаревший движок Chromium 80, отключённая песочница и удалённая политика одного источника.

Сведения о группировке угроз UNC3569 и возможная связь с i-SOON

UNC3569 — связанная с Китаем группировка угроз, известная атаками на государственные, образовательные, технологические и финансовые организации по всему миру с использованием уязвимостей в популярных программных продуктах. В отчёте Gen Threat Labs говорится, что UNC3569 может быть связана с китайской частной компанией-подрядчиком i-SOON.

В цепочке эксплуатации CVE-2026-51990 UNC3569 отправляет жертвам специально созданные ссылки sgbiz://, побуждая их кликнуть и тем самым запуская цепочку эксплуатации уязвимости и разворачивая бэкдор GrayRabbit; наблюдения Gen Threat Labs показывают, что такая атака позволяет выполнить код на уровне системы без предварительных разрешений пользователя.

Часто задаваемые вопросы

На каких пользователей влияет уязвимость CVE-2026-51990 и устранена ли она?

Уязвимость затрагивает Tencent Sogou Input Method для Windows. Tencent устранила её в версии 16.3.0.3498 и распространила исправление через автоматическое обновление, однако Gen Threat Labs указывает, что по состоянию на 10 сентября конфигурация встроенного движка Chromium 80 всё ещё не обновлялась. Пользователям рекомендуется проверить, установлена ли последняя версия через автоматическое обновление.

Из чего состоят три уязвимости CVE-2026-51990?

Три последовательно объединённых недостатка: (1) обработчик протокола sgbiz не очищает параметр «param», что позволяет внедрять аргументы командной строки; (2) соответствующая функция без ограничений передаёт URL браузеру; (3) встроенный движок Chromium 80 — версия от марта 2020 года, не обновлявшаяся примерно шесть лет, с отключённой песочницей и удалённой политикой одного источника — позволяет читать локальные файлы.

Что представляет собой бэкдор GrayRabbit и когда он был впервые обнаружен?

Бэкдор GrayRabbit непрерывно обнаруживается в атаках злоумышленников с 2021 года. Он предоставляет атакующим обратную оболочку, позволяет выполнять процессы, загружать плагины, отправлять файлы на сервер C&C, собирать системную информацию и завершать собственную работу; Gen Threat Labs наблюдала, как UNC3569 развернула этот бэкдор через цепочку эксплуатации CVE-2026-51990.