Des hackers chinois exploitent une faille critique dans le logiciel Sogou Input Method de Tencent

Gen Threat Labs a révélé qu'un acteur de menace lié à la Chine a exploité une vulnérabilité critique dans Sogou Input Method, un éditeur de méthode de saisie (IME) pour Windows développé par Tencent. Cette faille, référencée sous CVE-2026-51990, a permis aux attaquants d'exécuter du code arbitraire à distance et de déployer une porte dérobée sur les systèmes compromis.

La faille technique

Sogou Input Method est l'un des IME pour Windows les plus utilisés au monde, comptant des centaines de millions d'utilisateurs. Le logiciel se compose de plusieurs exécutables communiquant via un protocole personnalisé nommé sgbiz. Lorsqu'une URL est ouverte, le gestionnaire de protocole (biz_helper.exe) analyse l'URL et la transmet au composant approprié.

Selon Gen Threat Labs, l'exploit en un clic enchaîne trois failles : l'injection non validée d'arguments de ligne de commande, la navigation URL sans restriction et un moteur de navigateur Chromium obsolète et non isolé dans un bac à sable. La première vulnérabilité résidait dans le fait que, lors de l'analyse de l'URL, le gestionnaire de protocole ne nettoyait ni ne validait le paramètre « param », qui contrôle les arguments de ligne de commande transmis à l'exécutable. Cette absence de validation a ouvert la voie à une exécution de code à distance sans interaction complexe de la part de l'attaquant.

Un risque à grande échelle

La gravité de cette faille réside dans son accessibilité : un seul clic sur une URL spécialement conçue suffit pour compromettre un système. Étant donné l'ampleur de l'installation de Sogou Input Method, le nombre potentiel de systèmes exposés est considérable. Les utilisateurs de versions non corrigées du logiciel sont particulièrement vulnérables, et la chaîne d'exploitation simplifiée réduit le seuil d'action pour un attaquant.

Contexte : une montée des exploitations de failles critiques

Cette découverte s'inscrit dans un contexte où plusieurs vulnérabilités critiques sont activement exploitées. La semaine dernière, CISA a ajouté à son catalogue des vulnérabilités exploitées une faille de traversée de chemin de sévérité maximale dans GitLab, référencée CVE-2026-85706 et dotée d'un score CVSS de 10,0. Cette faille, qui affecte les versions de GitLab CE/EE antérieures aux correctifs publiés, permet à un attaquant non authentifié de lire des fichiers arbitraires sur un serveur, y compris des identifiants et des secrets. Le cabinet de cybersécurité watchTowr a indiqué avoir détecté des sondes en milieu réel pour cette vulnérabilité, et CISA a fixé au 15 septembre le délai de correction pour les agences fédérales américaines.

Ces deux cas, croisés entre plusieurs sources, illustrent la persistance des attaques contre des logiciels largement déployés et la rapidité avec laquelle les menaces peuvent se propager une fois une faille rendue publique. Le recoupement des chronologies — les sondages détectés pour GitLab dès le 11 septembre, puis l'ajout au catalogue CISA le même jour — confirme que les deux situations ont évolué en parallèle sur une courte période.

Recommandations

Les utilisateurs et organisations utilisant Sogou Input Method sont invités à vérifier qu'ils exécutent une version corrigée du logiciel et à rester attentifs aux annonces de Tencent concernant les mises à jour. Pour les environnements GitLab, CISA recommande d'appliquer les correctifs disponibles ou de supprimer l'accès public aux instances auto-hébergées, ainsi que de surveiller les journaux système pour détecter d'éventuelles tentatives d'exploitation, notamment les requêtes HTTP POST vers les URI de commits contenant des paramètres « file.path ».