搜狗输入法一条链接可装后门，旧版本已遭真实攻击

小甲鱼的二师兄

一条特制链接，可能让装着旧版搜狗输入法的 Windows 电脑悄悄多出远控后门。

安全公司 Gen Digital 于 9 月 10 日公开 CVE-2026-51990，并称调查人员不是在实验室里偶然发现它，而是在真实入侵行动中看到了攻击者利用。

攻击链像一场软件内部的 “接力赛”。

用户点击以 sgbiz: 开头的恶意链接后，搜狗输入法的协议处理程序会接收未经充分检查的启动参数，

打开皮肤中心，再让内置网页窗口访问攻击者控制的页面。

问题在于，这个窗口使用的是已经严重过时的 Chromium 80，沙箱和部分网页安全保护还被关闭，于是旧的浏览器漏洞便能一路跑到系统代码执行。

Gen Threat Labs 称，名为 UNC3569 的攻击团体已经用这条链路投放 GRAYRABBIT 后门，可执行命令、传输文件并加载更多组件。

研究人员没有公布受害者数量，因此不能写成 “数亿台电脑已经中招”；目前能确认的是漏洞被实际利用，而搜狗输入法本身拥有数以亿计的安装量，潜在影响面不小。

好消息是，漏洞早在 4 月 9 日便被报告给腾讯，腾讯于 4 月 21 日通过自动更新部署了修复版本 16.3.0.3498。

腾讯认为攻击流程较复杂，还需要诱导用户授权浏览器弹窗；研究人员则称受害者除点击链接外无需更多操作。

修复已经堵住这条外部链接入口，但研究人员提醒，内置浏览器仍然陈旧且没有沙箱，底层组件还值得继续加固。

仍在 Windows 上使用搜狗输入法的同学，最好确认版本不低于 16.3.0.3498，并直接从官方渠道更新。

近期若点过来源不明、会唤起输入法组件的链接，可再做一次安全扫描。楼主觉得，输入法天天接触密码、聊天和论文，

安全标准不该停留在 “能打字就先别动它”；内置一个六年前的裸奔浏览器，多少有点把门锁换新、窗户却一直敞着。

对于拥有数亿用户的软件，你认为厂商堵住已知攻击入口就算合格，还是必须同步淘汰所有过时、无沙箱的内置浏览器组件？