Ataque Chinês: Falha Crítica na Tencent Permite Execução Remota de Código com Um Clique

A vulnerabilidade CVE-2026-51990 no Sogou Input Method é um exemplo clássico de como a combinação de múltiplas falhas de segurança pode levar a um ataque devastador. A cadeia de exploração era sofisticada. Começava com a injeção de argumentos na URL do protocolo sgbiz, que não validava o parâmetro 'param'. Isso permitia aos atacantes manipular como o software processava os comandos.

A parte mais crítica, porém, residia no motor de navegador Chromium 80 embarcado, que estava desatualizado desde março de 2020. Sem seis anos de patches de segurança e com o sandbox desativado, ele abria as portas para a execução de código em nível de sistema. O ator da ameaça UNC3569 usava essa combinação para entregar o backdoor GrayRabbit, capaz de tudo: desde coletar informações do sistema até estabelecer um shell reverso e controlar processos. Isso é um cenário de pesadelo para qualquer ambiente corporativo.

A Tencent agiu e lançou a versão 16.3.0.3498 do Sogou Input Method para corrigir a falha de injeção de argumentos. No entanto, a parte mais preocupante da vulnerabilidade, o motor Chromium 80 desatualizado e sem sandbox, permaneceu intocado. Conforme apontado pelos pesquisadores em 10 de setembro de 2026, a configuração e a versão do Chromium ainda não foram atualizadas.

Isso significa que, embora uma parte da cadeia de exploração tenha sido mitigada, a raiz do problema, que é um componente crítico e inseguro dentro do software, continua existindo. Empresas e usuários ainda enfrentam riscos significativos se o motor Chromium não for atualizado, deixando uma porta aberta para novas explorações que possam contornar a correção da Tencent.

Este incidente ressalta a importância da gestão de vulnerabilidades em todos os componentes de um software, especialmente aqueles com acesso privilegiado ao sistema. A exploração por um clique é perigosa porque dispensa complexas manobras de engenharia social, tornando o ataque mais eficaz contra milhões de usuários. O Sogou Input Method, sendo amplamente utilizado, se tornou um alvo de alto valor para grupos como o UNC3569, conhecido por atacar governos e empresas.

A lição aqui é dupla: desenvolvedores devem manter todos os seus componentes atualizados e configurados com segurança, e usuários devem sempre aplicar as atualizações de software prontamente. A persistência de um motor Chromium desatualizado no Sogou Input Method é um lembrete vívido dos riscos de negligenciar a segurança de componentes de terceiros, mesmo após uma correção inicial.