Une faille de Tencent Sogou Input exploitée pour exécuter du code au niveau du système en un clic

Un acteur malveillant lié à la Chine a exploité une vulnérabilité critique de Tencent Sogou Input Method pour Windows afin de déployer la porte dérobée GrayRabbit. L’attaque nécessite qu’une victime clique sur un lien sgbiz:// spécialement conçu, après quoi plusieurs faiblesses se combinent pour permettre l’exécution de code au niveau du système.

Référencée sous l’identifiant CVE-2026-51990, la faille affecte un logiciel qui serait installé par plusieurs centaines de millions d’utilisateurs. Tencent a distribué un correctif dans Sogou Input Method 16.3.0.3498, mais les chercheurs indiquent que le navigateur intégré, obsolète et délibérément affaibli, reste inchangé.

Un protocole personnalisé transforme un lien en vecteur d’exécution

Sogou Input Method est un éditeur de méthode de saisie en chinois pour Windows. Son architecture comprend plusieurs exécutables qui communiquent via le schéma de protocole personnalisé sgbiz.

Le composant central de cette attaque est biz_helper.exe. Windows appelle ce gestionnaire de protocole lorsqu’un utilisateur ouvre une URL sgbiz://, puis l’exécutable analyse le lien avant de transmettre les instructions au composant Sogou approprié.

D’après les conclusions publiées par Gen Threat Labs, biz_helper.exe ne validait pas correctement le paramètre param de l’URL. Ce champ contrôle les arguments de ligne de commande transmis à l’exécutable sélectionné.

Un attaquant pouvait donc insérer des arguments malveillants dans un lien de protocole spécialement conçu. Une fois cliqué, le lien était intégré au flux d’exécution d’une application Sogou de confiance au lieu de rester un contenu ordinaire du navigateur.

L’attaque ne reposait pas sur une seule erreur de programmation. Elle enchaînait trois faiblesses :

1. Injection d’arguments de ligne de commande : le gestionnaire de protocole acceptait des données non validées provenant du paramètre param.
2. Navigation sans restriction : les arguments injectés pouvaient spécifier une page skincenter, qu’un autre composant Sogou copiait et ouvrait.
3. Un navigateur intégré non sécurisé : le contenu obtenu s’exécutait dans une implémentation obsolète de Chromium, dépourvue de sandbox et dont plusieurs protections du navigateur avaient été supprimées.

Cette séquence transformait une seule interaction de l’utilisateur en voie d’accès à l’exécution de code natif. La plage exacte des versions vulnérables n’a pas été communiquée.

Chromium 80 a amplifié la faille du gestionnaire de protocole

Le navigateur intégré repose sur une version de Chromium 80 publiée en mars 2020. Il lui manquerait environ six années de mises à jour de sécurité ultérieures du navigateur.

L’ancienneté n’était pas le seul problème. La sandbox de l’implémentation intégrée était entièrement désactivée, supprimant une importante barrière de confinement destinée à empêcher un contenu web compromis d’atteindre le système d’exploitation.

D’autres protections étaient également absentes. La configuration aurait désactivé l’application de la same-origin policy et autorisé les URL à accéder à d’autres fichiers locaux. Ces modifications donnaient aux contenus contrôlés par l’attaquant une portée nettement supérieure à celle dont ils auraient disposé dans un navigateur moderne configuré normalement.

La chaîne d’exploitation utilisait l’injection d’arguments pour contraindre un composant Sogou à charger du contenu sélectionné par l’attaquant sous la forme d’une page skincenter. Ce contenu s’exécutait ensuite dans l’environnement Chromium affaibli, où la désactivation de la sandbox et l’assouplissement des restrictions de sécurité permettaient la compromission finale au niveau du système.

Cet aspect est important pour évaluer le correctif. Tencent a corrigé la voie directe impliquant les options contenant des URL, mais le navigateur intégré reste une surface d’attaque potentiellement dangereuse. Une autre méthode permettant d’injecter du contenu hostile dans ce composant pourrait exposer les mêmes barrières de sécurité manquantes.

Aucun score CVSS, vecteur CVSS ou classement CWE n’est disponible dans les informations NVD communiquées. Qualifier CVE-2026-51990 de critique reflète donc l’impact observé, et non un score NVD publié.

UNC3569 a exploité la faille pour installer GrayRabbit

L’exploitation a été attribuée à UNC3569, un groupe de menaces lié à la Chine qui pourrait avoir des liens avec le prestataire privé chinois i-SOON. Cette association reste une piste potentielle et non une identité confirmée.

UNC3569 aurait ciblé des organisations des secteurs gouvernemental, éducatif, technologique et financier en exploitant des vulnérabilités de logiciels largement déployés. Dans cette campagne, les victimes recevaient des liens sgbiz spécialement conçus, et un seul clic suffisait à activer la chaîne.

Les canaux précis utilisés pour transmettre ces liens n’ont pas été communiqués. En pratique, les liens reposant sur des protocoles personnalisés peuvent apparaître dans des contenus tels que des messages, des e-mails ou des documents, ce qui constitue une vaste source d’exposition sur les postes Windows polyvalents.

Une exploitation réussie installait GrayRabbit, une porte dérobée observée dans des intrusions attribuées à UNC3569 depuis au moins 2021. Ses fonctionnalités signalées comprennent :

• Ouvrir un shell inversé ;
• Démarrer des processus sur l’hôte compromis ;
• Charger des plugins supplémentaires ;
• Envoyer des données vers un shell interactif ;
• Téléverser des fichiers vers une infrastructure de commande et de contrôle ;
• Collecter des informations système ;
• Se terminer.

Ces fonctions donnent à l’opérateur un contrôle interactif ainsi qu’un moyen d’étendre l’intrusion à l’aide de modules supplémentaires. Les fonctions d’exécution de processus et de transfert de fichiers de GrayRabbit pourraient faciliter le déploiement d’autres logiciels malveillants ou le vol de données, même si ces actions ultérieures n’ont pas été expressément confirmées dans la campagne rapportée.

Gen Threat Labs a signalé la vulnérabilité à Tencent le 9 avril. Les dates exactes des attaques observées n’ont pas été rendues publiques.

Tencent a corrigé le gestionnaire de liens, pas l’architecture du navigateur

Tencent a corrigé CVE-2026-51990 dans Sogou Input Method 16.3.0.3498. L’entreprise a distribué cette version via le mécanisme de mise à jour automatique du produit.

La mise à jour a ajouté une vérification des options contenant des URL dans le gestionnaire de protocole, bloquant la méthode connue permettant d’injecter une navigation choisie par l’attaquant dans le flux Sogou.

Les organisations ne doivent pas partir du principe que tous les postes ont reçu la mise à jour. Les appareils hors ligne, dont les services de mise à jour sont défaillants ou soumis à des politiques réseau restrictives peuvent encore exécuter une version exposée. Les administrateurs doivent vérifier directement la version installée.

La version corrigée ne résout pas toutes les conditions qui rendaient l’exploitation possible. Au 10 septembre, la version sous-jacente de Chromium et la configuration du navigateur seraient restées inchangées. L’environnement intégré ne disposait toujours pas de sandbox ni d’autres protections standard des navigateurs.

Par conséquent, la version 16.3.0.3498 ferme la voie d’attaque rapportée au niveau du gestionnaire de protocole, mais n’élimine pas le risque architectural plus large. Les organisations qui n’ont pas besoin de Sogou Input Method devraient envisager de le supprimer. Lorsque cette suppression n’est pas envisageable, isoler les systèmes concernés ou restreindre la gestion des protocoles personnalisés peut réduire l’exposition.

Les défenseurs doivent examiner les chaînes de processus issues de Sogou

La priorité immédiate consiste à recenser les postes Windows exécutant Sogou Input Method et à confirmer que chaque installation utilise la version 16.3.0.3498 ou une version ultérieure. Les versions antérieures exactes affectées par CVE-2026-51990 ne sont pas connues ; les défenseurs doivent donc considérer la version corrigée comme le socle minimal vérifiable.

Les équipes de sécurité doivent également surveiller :

• L’invocation inattendue de biz_helper.exe ;
• Les arguments inhabituels ou fortement encodés transmis à cet exécutable ;
• Les navigations skincenter impliquant des emplacements non fiables ou inconnus ;
• Les processus enfants lancés par les composants Sogou ;
• L’accès à des fichiers locaux depuis le navigateur Sogou intégré ;
• Le trafic associé à un shell inversé ou une exécution interactive de commandes inexpliquée ;
• Le chargement de plugins et la collecte d’informations système associés à GrayRabbit ;
• Les téléversements de fichiers vers une infrastructure externe non reconnue.

Les organisations peuvent bloquer ou restreindre les liens sgbiz non sollicités lorsque leurs contraintes opérationnelles le permettent. Les passerelles de messagerie, les contrôles des terminaux et les systèmes de sécurité des services de messagerie doivent traiter ce schéma comme un déclencheur d’application exécutable plutôt que comme une adresse web classique.

Les restrictions de trafic sortant peuvent limiter davantage la capacité d’une porte dérobée active à atteindre les serveurs de commande et de contrôle. Aucun indicateur réseau spécifique à GrayRabbit n’ayant été communiqué, la détection fondée sur les comportements est particulièrement pertinente.

Statut KEV et lacunes persistantes dans les informations publiées

Les informations NVD disponibles mentionnent l’identifiant CVE-2026-51990, mais ne fournissent ni plage de versions affectées, ni données CVSS, ni catégorie CWE.

Elles n’établissent pas non plus si la vulnérabilité figure dans le catalogue Known Exploited Vulnerabilities de la Cybersecurity and Infrastructure Security Agency des États-Unis. Aucune date d’ajout au catalogue KEV ni échéance fédérale de remédiation n’est connue sur la base des informations disponibles.

Les informations disponibles sont également insuffisantes pour déterminer si cet incident s’inscrit dans une série de vulnérabilités récentes de Tencent ajoutées au catalogue KEV. Ce qui est confirmé, c’est une exploitation active signalée par des chercheurs en sécurité, ce qui rend la remédiation urgente, quel que soit le statut dans le catalogue.

Le correctif bloque la chaîne observée en un clic. Le moteur de navigateur inchangé laisse toutefois subsister un risque produit que la seule mise à jour ne permet pas de traiter entièrement.