CVE-2026-51990 : Sogou Input Method ciblé par APT chinois

Ce qui s'est passé

Le 13 septembre 2026, les équipes de BleepingComputer et The Hacker News ont détaillé une campagne d'espionnage active ciblant des organisations gouvernementales, éducatives, technologiques et financières principalement situées en Asie de l'Est et du Sud-Est. L'auteur de la campagne est UNC3569, un groupe que les équipes de Google Threat Intelligence rattachent à la Chine, opérant dans la sphère des hackers-à-louer.

Au cœur de l'attaque se trouve CVE-2026-51990, une vulnérabilité d'exécution de code à distance (RCE) de type one-click dans Sogou Input Method, le logiciel de saisie en idéogrammes chinois édité par Tencent. Avec des centaines de millions d'installations sur Windows, Sogou est l'un des outils de bureautique les plus déployés en Chine continentale, à Taïwan et au sein de la diaspora sinophone mondiale, ce qui en fait une cible d'une valeur considérable pour des acteurs d'espionnage.

La chaîne d'exploitation enchaîne trois faiblesses distinctes du logiciel. Première faiblesse : une injection d'argument en ligne de commande non validée. Deuxième faiblesse : une navigation URL non restreinte au sein d'un composant interne. Troisième faiblesse, la plus critique : Sogou embarque un moteur Chromium figé à la version 80, datant de 2020, sans bac à sable de sécurité. Cette version reste vulnérable à CVE-2021-38003, une confusion de types V8 corrigée dans Chromium 95.0.4638.69. Concrètement, un attaquant envoie un lien malveillant à la victime ; un simple clic suffit pour déclencher l'exécution de code arbitraire dans le contexte utilisateur, sans nécessiter de privilèges élevés.

La charge utile déposée est GrayRabbit, un backdoor modulaire. Une fois implanté, il ouvre un shell distant permettant à l'opérateur d'exécuter des commandes arbitraires sur le système compromis. Il offre des capacités de transfert de fichiers bidirectionnelles — exfiltration de données vers l'infrastructure C2 et dépôt d'outils supplémentaires depuis le serveur de l'attaquant. Son architecture modulaire permet de charger des plugins additionnels à la demande, sans nécessiter de réinfection complète, ce qui le rend particulièrement difficile à détecter a posteriori.

La découverte de la vulnérabilité est due aux chercheurs de Gen Digital (société mère des antivirus Norton, Avast et Avira), qui ont identifié la chaîne d'exploitation lors d'une analyse de campagne. Gen a signalé la faille à Tencent le 9 avril 2026 ; Tencent a confirmé la correction le 21 avril 2026 dans la version 16.3.0.3498. Le délai de divulgation responsable a donc été respecté, mais la publication des détails techniques en septembre a coïncidé avec les premières observations d'exploitation active dans la nature, suggérant que UNC3569 avait développé son exploit indépendamment ou a agi très rapidement après publication.

UNC3569 est un groupe de menace persistante avancée (APT) catalogué par Google Mandiant. Son mode opératoire s'inscrit dans le marché des hackers-à-louer liés à la Chine, conduisant des opérations d'espionnage pour le compte d'entités étatiques ou para-étatiques. Les secteurs ciblés — gouvernement, éducation, technologie, finance — correspondent aux priorités de collecte de renseignement habituellement attribuées à ces acteurs. La concentration géographique sur l'Asie de l'Est et du Sud-Est est cohérente avec les intérêts géopolitiques et économiques de Pékin dans la région.

Selon SecurityWeek, la faille Sogou illustre un problème structurel récurrent : des logiciels embarquant des navigateurs ou des moteurs de rendu web figés sur des versions obsolètes, non mises à jour, dépourvues de sandbox. Ce pattern a été observé dans des applications Electron, dans certaines versions d'Outlook ou dans des outils bureautiques embarquant des visionneuses HTML. La surface d'attaque est d'autant plus dangereuse que ces composants sortent rarement du périmètre habituel des équipes sécurité, focalisées sur les navigateurs officiels.

La CISA américaine n'avait pas encore ajouté CVE-2026-51990 à son catalogue des vulnérabilités exploitées connues (KEV) au moment de la rédaction de cet article, mais compte tenu de l'exploitation active confirmée, une inclusion prochaine est probable. Les organisations concernées ne doivent pas attendre cette formalisation pour déployer le correctif.

Pourquoi c'est important

CVE-2026-51990 cristallise plusieurs problèmes structurels de la sécurité logicielle. Le premier est le cycle de vie des composants tiers embarqués. Sogou a intégré Chromium 80, sorti en 2020, et ne l'a manifestement jamais mis à jour. Ce choix a transformé chaque installation de Sogou en une version de Chrome datant de six ans, exposée à des dizaines de CVE Chromium critiques corrigées depuis. Pour les équipes sécurité, cela impose d'inclure l'inventaire des composants navigateurs embarqués dans les audits SBOM (Software Bill of Materials), au même titre que les bibliothèques open source classiques.

Le deuxième enjeu est la géopolitique du logiciel. Sogou, développé par une entité liée à Tencent, est largement déployé dans les organisations travaillant avec la Chine ou employant des locuteurs de mandarin. Dans un contexte de tensions sino-occidentales accrues, la présence de tels logiciels sur des postes sensibles doit être évaluée dans une démarche de gestion des risques : tout logiciel moins bien maintenu ou développé dans un environnement réglementaire opaque représente un risque accru, indépendamment de toute considération politique.

Le troisième enjeu concerne la fenêtre entre patch et exploitation. Gen Digital a divulgué la faille à Tencent en avril, le correctif est sorti en avril, mais l'exploitation active a démarré en septembre — soit cinq mois après le patch. Cela suggère soit un exploit pre-patch, soit une rétro-ingénierie rapide du correctif. Dans les deux cas, la fenêtre entre disponibilité du patch et application réelle dans les organisations reste trop large. Ce retard structurel est l'un des leviers d'action les plus efficaces pour réduire la surface d'attaque.

Enfin, GrayRabbit s'inscrit dans une tendance plus large de prolifération des backdoors modulaires utilisés par les APT liés à la Chine. Des familles comme PlugX, ShadowPad ou Winnti partagent cette architecture extensible par plugins. GrayRabbit représente une évolution de ce modus operandi, désormais capable de cibler des logiciels grand public (IME) plutôt que des composants d'infrastructure, élargissant considérablement la surface d'attaque potentielle.

Ce qu'il faut retenir

• Mettre à jour Sogou Input Method vers la version 16.3.0.3498 ou ultérieure immédiatement ; désinstaller l'outil s'il n'est pas strictement nécessaire au poste concerné.
• Auditer les logiciels métier embarquant des moteurs Chromium ou d'autres navigateurs figés : ce vecteur d'attaque est sous-estimé et largement répandu dans les outils bureautiques.
• Surveiller les indicateurs de compromission (IoC) publiés par Gen Digital pour détecter d'éventuelles traces de GrayRabbit dans vos environnements Windows.