Una vulnerabilità critica in Sogou Input Method per Windows, identificata come CVE-2026-51990, è stata sfruttata attivamente per installare la backdoor GrayRabbit. Il problema non riguarda solo un software di input per la lingua cinese: dimostra come un’applicazione apparentemente secondaria possa diventare un punto d’ingresso completo nel PC aziendale.
Per un’impresa, il messaggio è chiaro: basta un clic su un link costruito ad arte e un componente non aggiornato può aprire la strada a esecuzione di codice, furto di dati e controllo remoto della macchina. Anche se in Italia Sogou non è un software diffuso come altri strumenti Windows, il caso è un promemoria concreto sul rischio legato a programmi poco governati, browser integrati obsoleti e aggiornamenti non verificati.
Che cosa è successo
Il 13 settembre 2026 BleepingComputer ha riportato che alcuni attori malevoli collegati al gruppo di cyberspionaggio UNC3569 stanno sfruttando una falla critica in Sogou Input Method for Windows, software sviluppato da Tencent.
Secondo l’analisi di Gen Digital, la vulnerabilità CVE-2026-51990 è una falla di tipo remote code execution “one-click”: in pratica può bastare l’interazione dell’utente con un link preparato dall’attaccante per avviare la catena di compromissione.
Sogou Input Method è un’applicazione molto diffusa in Cina per l’inserimento di caratteri cinesi da tastiera standard. Oltre alla funzione principale, include anche un gestore di link personalizzati e un browser incorporato basato su una versione datata di Chromium. È proprio questa combinazione di componenti a rendere possibile l’attacco.
Come funziona l’attacco
La catena osservata dai ricercatori unisce tre debolezze del prodotto:
- un’iniezione non validata di argomenti da riga di comando nel protocollo personalizzato
sgbiz: - una navigazione URL senza restrizioni in una webview basata su CEF
- un motore Chromium 80 obsoleto, privo di sandbox
L’attacco parte da un link sgbiz: costruito ad arte. Quando la vittima lo apre, Windows richiama il gestore di protocollo del programma, che passa parametri controllati dall’attaccante a un eseguibile legittimo di Sogou senza un’adeguata validazione.
A quel punto il software viene indotto a caricare una pagina web scelta dall’aggressore attraverso il proprio componente interno. Poiché il programma non limitava in modo corretto destinazione e schema dell’URL, il passaggio successivo diventava possibile: sfruttare una vulnerabilità già nota nel vecchio motore Chromium integrato.
L’aspetto più critico è che questo browser interno, secondo i ricercatori, funzionava senza sandbox e con diverse protezioni web disabilitate. In queste condizioni, l’exploit porta all’esecuzione di codice sul sistema e all’installazione della backdoor GrayRabbit.
Perché GrayRabbit è pericoloso
GrayRabbit non è un malware “rumoroso” pensato per bloccare subito il PC, come accade con molti ransomware. È una backdoor modulare, quindi progettata per dare accesso persistente e flessibile alla macchina compromessa.
Google aveva già descritto nel 2024 GrayRabbit come una famiglia malware modulare, collegandola proprio a UNC3569, attore indicato come operante tra cyberspionaggio e attività da contractor offensivo. Il campione analizzato da Gen Digital è una variante a 64 bit più evoluta, con set di comandi ampliato e configurazione del canale di comando e controllo codificata con RC4.
Le capacità riportate includono:
- esecuzione di processi
- apertura di reverse shell interattive
- caricamento e scaricamento di file
- raccolta di informazioni su sistema e utente
- caricamento riflessivo di plugin direttamente in memoria
Tradotto in termini aziendali: una volta entrato, l’attaccante può usare il PC come base per rubare documenti, muoversi nella rete, installare altri strumenti e mantenere l’accesso anche senza segnali evidenti per l’utente.
La patch c’è, ma il caso non è chiuso
Gen Threat Labs ha comunicato i risultati a Tencent il 9 aprile 2026. La correzione è stata rilasciata il 21 aprile con la versione 16.3.0.3498 di Sogou Input Method.
La patch, secondo quanto riportato, introduce tre contromisure importanti:
- valida gli argomenti URL accettati dal protocol handler
- consente solo URL HTTPS
- limita la navigazione a domini approvati legati a Sogou e Tencent
È un intervento utile, ma non elimina tutte le preoccupazioni. I ricercatori hanno infatti avvertito che il browser sottostante resta obsoleto e continua a funzionare senza sandbox, con molte protezioni di sicurezza web disattivate.
Per questo il caso merita attenzione anche oltre Sogou: aggiornare una singola vulnerabilità non sempre significa ridurre davvero il rischio strutturale. Se un’applicazione incorpora componenti vecchi o progettati senza adeguato isolamento, può restare fragile anche dopo una patch puntuale.
Perché questa notizia riguarda anche le aziende italiane
Molte PMI pensano alla sicurezza concentrandosi su server, email e firewall. In realtà gli attacchi moderni passano spesso da software periferici: utility di stampa, strumenti PDF, componenti per videoconferenza, estensioni del browser, programmi di input, updater e app installate anni prima e mai più ricontrollate.
Il caso Sogou mette in luce quattro problemi molto comuni anche negli ambienti italiani:
1. Software non standard installato sui PC
In molte aziende ogni postazione accumula nel tempo programmi diversi, spesso installati per esigenze specifiche di un utente o di un reparto. Senza un inventario aggiornato, l’IT non sa davvero cosa gira sulle macchine.
2. Browser integrati e componenti embedded
Un software può sembrare innocuo ma contenere al suo interno un motore web datato. Questo lo espone a vulnerabilità simili a quelle dei browser, ma spesso fuori dai normali processi di aggiornamento centralizzato.
3. Fiducia eccessiva nei link e nei protocolli personalizzati
Molti attacchi non richiedono macro o allegati. Possono attivarsi con un link, un protocollo custom o un passaggio apparentemente legittimo nel sistema operativo.
4. Patch applicate senza una valutazione del rischio residuo
Installare l’aggiornamento corretto è essenziale, ma non basta se il prodotto resta architetturalmente debole o se non si capisce dove è installato e chi lo usa.
Cosa significa per la tua azienda
Per una PMI italiana, il primo passo non è inseguire ogni notizia tecnica, ma trasformarla in una procedura pratica.
Ecco le azioni più utili:
- Verifica se Sogou Input Method è presente in azienda. Può trovarsi su PC usati da personale madrelingua cinese, filiali commerciali, postazioni condivise o notebook acquistati e configurati all’estero.
- Se presente, controlla la versione. La correzione indicata da Tencent è nella versione 16.3.0.3498, rilasciata il 21 aprile 2026.
- Valuta se il software è davvero necessario. Se non è indispensabile al lavoro, la rimozione riduce il rischio più di qualsiasi eccezione o configurazione temporanea.
- Fai un inventario dei software installati. Sapere quali applicazioni sono presenti sui PC è la base per ogni difesa seria. Qui può essere utile un servizio di gestione centralizzata delle postazioni.
- Blocca o limita software non autorizzato. Dove possibile, adotta criteri di allowlist o almeno processi di approvazione per nuove installazioni.
- Rafforza il filtraggio dei link. Anche se questo caso parte da un protocollo specifico, resta valido il principio: i link sono ancora uno dei vettori più efficaci per attivare compromissioni.
- Segmenta e monitora le postazioni. Un singolo PC compromesso non deve poter accedere liberamente a file server, NAS o cartelle condivise sensibili.
- Prepara il recupero. Una backdoor può precedere furto dati, sabotaggio o ransomware. Per questo sono indispensabili copie sicure e verificate, ad esempio con soluzioni di backup remoto.
- Rivedi il piano di sicurezza endpoint. Antivirus, EDR, controllo applicativo e aggiornamenti automatici devono essere parte di un disegno unico, non strumenti isolati.
Se la tua organizzazione non dispone di un referente interno dedicato, conviene formalizzare controlli periodici con un partner esterno tramite un contratto di assistenza informatica, così da non affidare la sicurezza alla sola buona volontà degli utenti.
Lezioni operative da portare a casa
Questa vicenda lascia tre insegnamenti concreti.
Il primo: non esistono software “minori”. Qualunque applicazione che interagisce con il sistema operativo, apre pagine web o gestisce protocolli personalizzati può diventare una superficie d’attacco.
Il secondo: una patch non equivale automaticamente a un rischio azzerato. Se restano componenti datati e privi di sandbox, la prudenza deve restare alta.
Il terzo: la sicurezza efficace nasce dalla governance. Inventario software, aggiornamenti centralizzati, controllo delle installazioni e piani di risposta sono molto più importanti della reazione impulsiva alla singola notizia.
Domande frequenti
Questa vulnerabilità riguarda tutti i PC Windows?
No. Riguarda i sistemi Windows su cui è installato Sogou Input Method. Tuttavia il principio vale per molte altre applicazioni con componenti web integrati e poco aggiornati.
Basta aggiornare Sogou per essere al sicuro?
Aggiornare alla versione 16.3.0.3498 è il primo passo indicato nelle fonti. Resta però opportuno verificare se il software sia davvero necessario, perché i ricercatori segnalano ancora criticità strutturali nel browser incorporato.
Se non uso Sogou, posso ignorare la notizia?
No del tutto. Anche se non usi questo prodotto, il caso è un buon esempio di come utility apparentemente secondarie possano diventare vettori di attacco. Vale la pena controllare inventario software, aggiornamenti e strumenti installati fuori standard.