文章总结： 搜狗输入法Windows版存在一键RCE漏洞CVE-2026-51990，由协议参数注入、WebView任意导航及无沙箱Chromium80引擎三缺陷串联而成，影响16.3.0.3498以下版本。UNC3569组织已在野利用投放GRAYRABBIT后门。官方已修复，建议用户确认升级至16.3.0.3498及以上版本，企业应核查终端版本并封禁相关IoC。
综合评分： 88
文章分类： 漏洞分析,恶意软件,应急响应,威胁情报
搜狗输入法一键RCE深度分析（CVE-2026-51990，附PoC）：UNC3569 在野利用、数亿装机量
原创
赤霄攻防实验室
赤霄攻防实验室
赤霄攻防实验室
2026年9月15日 09:16
江苏
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
TL;DR 四行速览
🔹 是什么：腾讯搜狗输入法 Windows 版一键远程代码执行漏洞（CVE-2026-51990），sgbiz: 协议参数注入 + 皮肤中心 WebView 任意导航 + 无沙箱 Chromium 80 引擎，三缺陷串成一条链；
🔹 影响：16.3.0.3498 以下全部版本，数亿级安装量的国民级输入法，UNC3569 间谍组织已在野利用投放 GRAYRABBIT 后门；
🔹 修复：官方 16.3.0.3498 已通过自动更新修复（协议参数校验 + HTTPS + 域名白名单），确认版本即可安心；
🔹 看点：教科书级的「组合拳」漏洞——每一环单独看都不算致命，串起来就是一次点击拿shell，这是桌面软件内置浏览器组件的通病样本。
一、事件背景：从一次入侵排查里挖出的国民软件漏洞
2026 年 9 月 10 日，Gen Digital 旗下威胁研究团队 Gen Threat Labs 发布了一份让国内安全圈坐立不安的报告：他们在调查一起 UNC3569（一个被谷歌威胁情报标记为与中国有关的雇佣间谍团伙）的入侵时，把初始访问链路一路回溯，发现进程链的起点不在浏览器、不在 Office，而是搜狗输入法。
顺着这条线，研究人员挖出了 CVE-2026-51990——一个只需受害者点击一次链接就能落盘后门的远程代码执行漏洞。更扎心的是，这不是理论攻击：UNC3569 已经把它用于真实入侵，投放了 GRAYRABBIT 后门。
搜狗输入法在国内是数亿级安装量的基础输入工具，办公终端几乎人手一个。奇安信 CERT 已将其标记为「重保2026 / 关键漏洞 / 在野利用 / 影响亿级」，并给出 QVD-2026-66338 编号。
时间线：2026-04-09 Gen 报告腾讯 → 04-10 腾讯确认 → 04-21 修复版 16.3.0.3498 全量自动更新（12 天响应，行业快水平） → 07-10 MITRE 分配 CVE → 09-10 细节公开。
也就是说，补丁已经推了快五个月，自动更新正常的用户早就安全了。但现实是企业里总有长期不开机的终端、禁用自动更新的环境、以及各种魔改精简版系统——这正是我们今天还要把它讲透的原因。
▲ Gen Threat Labs 原始分析报告《Gray Rabbits and the Tale of a One-Click Backdoor》
二、攻击面：搜狗输入法是怎么「跟自己说话」的
搜狗输入法不是单个 exe，而是一堆组件的集合，组件之间靠 Windows 自定义协议 sgbiz: 通信。任何程序——当然也包括网页和 IM 消息里的链接——触发一个 sgbiz: 开头的 URL，Windows 都会把它交给协议处理器 biz_helper.exe。
正常业务里，这个协议长这样：sgbiz:sg_process?module=某官方组件¶m=某些参数。处理器解析 URL，启动对应组件。问题就出在这个「解析并启动」的过程里。
三、三缺陷解剖：为什么每一环都「不算大事」，串起来就是灾难
缺陷一：param 参数零校验的命令行注入
biz_helper.exe 处理 sg_process 命令时提取五个参数：module（启动哪个程序）、param（命令行参数）、work_dir、start_mode、start_show。开发者在 module 上做了字符黑名单校验（斜杠、冒号、星号等一律拦截），但 param 参数一行校验代码都没有。
这是一个典型的「过滤了启动谁，没过滤带什么参数启动」的设计盲区——module 传的是官方签名程序，杀软不看第二眼；param 里藏的私货才是杀器。
缺陷二：skincenter——全程序唯一的浏览器入口
参数注入的落点选在 SGMyInput.exe（配置程序）。它的大多数页面（模糊音设置、按键设置、个人中心）都是原生 Win32 对话框，唯独 skincenter（皮肤中心）这一页会创建 CEF WebView 来渲染皮肤商店——这是整个程序唯一的浏览器实例化路径。
攻击者用 -page=skincenter 触发 WebView 创建，再用 -url= 传入任意地址。OnWebViewIsReady 回调对 URL 不做任何校验，直接导航——正常应加载 sogoupyskin / page.sogou 等内部域名的浏览器，就这么开到了攻击者的服务器上。
缺陷三：一台 2020 年出厂、还拆了安全带的浏览器
WebView 的渲染进程是 SGWebRender.exe，它加载的 libcef.dll 自报版本 CEF 80.1.16 / Chromium 80.0.3987.163——2020 年 3 月的引擎。六年间的 V8 漏洞随便挑。
更夸张的是初始化配置：PopulateCefSettings 显式设置 no_sandbox=TRUE（渲染进程直接以用户权限跑，无沙箱隔离）；启动参数里还有 disable-web-security（关闭同源策略，任意页面可读任意源）和 allow-file-access-from-files（可读本地文件）。
哪怕不打浏览器漏洞，仅凭关闭的同源策略，恶意页就能对内网服务发起带凭据请求并外传数据。而一旦打了 V8 漏洞，没有沙箱意味着渲染进程逃逸这一步直接免了——引擎漏洞即系统漏洞。
四、在野利用实录：UNC3569 的完整打法
Gen 抓到的野外投递链接指向 noht1ng.top 下的恶意页面。该页面部署了 CVE-2021-38003（JSON.stringify 类型混淆，2021 年的 V8 洞）的利用代码：
① 利用「the hole」值破坏 V8 内部 Map 结构，拿到堆上任意读写；② 定位 WebAssembly 实例（V8 用 RWX 内存做 JIT 页），覆写为 921 字节的 x64 shellcode 并调用导出函数跳转执行；③ shellcode 下载正版 7z.exe + 伪造的 7z.dll + 加密载荷，DLL 侧加载运行；④ 解密出 GRAYRABBIT——一个模块化 C++ 后门，raw TCP 443 端口回连，每 4096 字节帧用固定 RC4 密钥加密，带 0-9 号完整命令集，谷歌威胁情报在 VB2024 论文里对其有过完整画像。
给防守方的 IoC（已做防污染处理）：
· GRAYRABBIT C2 域名：mail.uaiubifas[.]top（443 端口 raw TCP + RC4）
· 漏洞利用页域名：noht1ng[.]top
· 暂存服务器：8.218.50[.]207（阿里云香港）
▲ 八步攻击链全景：从一次点击到 GRAYRABBIT 驻留
▲ GBHackers 对该在野利用事件的报道
五、防御视角：三个值得每个企业记住的点
1. 内置浏览器是桌面软件的隐形攻击面。输入法、网盘、笔记软件……大量国产桌面软件都内置 CEF 组件且常年不更新引擎。这个案例的教训不是「搜狗不安全」，而是任何带内嵌 WebView 的老版本软件都可能是同款剧本。资产盘点时请把「进程里的 WebRender/CEF 字样」当作一类资产来管。
2. 修复断在最细的环节。腾讯的补丁只修了第一环（协议层校验参数 + 强制 HTTPS + 搜狗/腾讯域名白名单），后两环的旧引擎依然在跑。这是合理的工程决策——但意味着如果未来再出一个协议层的洞，旧引擎问题会立刻还魂。纵深防御的价值就在这里。
3. 检测思路：终端侧关注 biz_helper.exe / SGMyInput.exe 带非常规参数（-url= 指向外部域名）的启动事件、SGWebRender.exe 访问非 sogou 域名的出站流量；网络侧对上述 IoC 直接封禁。判断是否受影响最直接的办法：确认搜狗输入法版本 ≥ 16.3.0.3498。
六、修复与缓解
✅ 个人用户：打开搜狗输入法设置 → 检查更新，确认升级到 16.3.0.3498 及以上（2026-04-21 起自动推送）。不改使用习惯、无需卸载。
✅ 企业管理员：用版本清单或我们下面提供的检测脚本批量核查终端版本；对无法升级的终端，可考虑组策略限制自定义协议处理器注册表项，并封禁文中 IoC。
✅ 研判参考：奇安信 CERT 已验证并定级（QVD-2026-66338），标记「在野利用 + 影响亿级」，建议纳入重保期间重点核查清单。
七、附：非破坏性检测 PoC
我们按惯例写了一个纯本地、零流量、非破坏的检测脚本：读取注册表判断 sgbiz: 协议处理器是否注册、定位搜狗安装目录、解析 version.ini 与 SGWebRender.exe 的版本资源，输出「受影响 / 已修复 / 未安装」三态结论。不构造利用链接、不启动任何搜狗进程、不修改任何东西，可放心在内网跑。
🧪 PoC 地址：https://github.com/Rubby2001/CVE-POCS/tree/main/CVE-2026-51990
（点击文末「阅读原文」可直接跳转。）
参考
-
Gen Threat Labs — Gray Rabbits and the Tale of a One-Click Backdoor（2026-09-10）
https://www.gendigital.com/blog/insights/research/one-click-backdoor-sogou -
GBHackers — China-Linked Hackers Exploit Sogou One-Click RCE to Deploy GRAYRABBIT Backdoor
https://gbhackers.com/grayrabbit-backdoor/ -
奇安信 CERT — QVD-2026-66338 漏洞通告（重保2026·关键漏洞）
-
PoC 检测脚本（本实验室）
https://github.com/Rubby2001/CVE-POCS/tree/main/CVE-2026-51990
—— 我是赤霄，专注高价值漏洞的深度拆解。如果这篇对你有帮助，点赞、在看、转发三连是连夜赶工的最大动力。
免责声明：本文仅用于防御研究与安全学习，所有攻击细节均来自厂商与研究机构公开披露，IoC 已做防污染处理；严禁将文中技术用于未授权测试。检测脚本仅读取本机信息，请在授权环境下使用。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：赤霄攻防实验室 赤霄攻防实验室
赤霄攻防实验室《搜狗输入法一键RCE深度分析（CVE-2026-51990，附PoC）：UNC3569 在野利用、数亿装机量》