第一章事件概述

2026 年 9 月中旬，国内多所高校网信部门与安全情报机构（奇安信 CERT、深瞳漏洞实验室）接连发布紧急预警：搜狗输入法 Windows 版存在远程代码执行漏洞 CVE-2026-51990（奇安信编录 QVD-2026-66338）。该漏洞利用门槛极低------受害者仅需点击一次恶意 sgbiz:// 协议链接即可被完全控制，且已确认出现真实在野利用，攻击载荷为 GRAYRABBIT 后门程序。

|------------|--------------------------------------------|
| 项目 | 内容 |
| CVE 编号 | CVE-2026-51990（QVD-2026-66338） |
| CVSS 评分 | 8.8 高危（CVSS v3.1） |
| 影响范围 | 搜狗输入法 Windows 版，版本低于 16.3.0.3498（影响量级：千万级） |
| 利用条件 | 无需认证；需诱导用户点击一次构造的 sgbiz:// 链接 |
| 利用状态 | 在野利用已发现；技术细节已公开；PoC/EXP 未公开 |
| 修复版本 | 16.3.0.3498 及以上（官方已发布） |

搜狗输入法在国内拥有数亿级安装量，是政企办公终端最常见的常驻软件之一，其「每个终端都在运行」的属性使该漏洞成为终端安全的高优先级事件。

第二章漏洞详情

2.1 组件背景

搜狗输入法面向 Windows 平台提供智能拼音、云输入预测、皮肤定制与词库同步等功能，深度集成 Windows 文本服务框架（TSF），实现对系统级键盘输入的实时捕获与处理；同时内置了基于 CEF（Chromium Embedded Framework）的浏览器组件，用于展示皮肤商店等 Web 内容。

2.2 漏洞原理

漏洞根源在于 sgbiz:// 自定义协议处理器（biz_helper.exe）对传入的命令行参数未做充分验证。攻击者构造恶意 sgbiz:// 链接后，参数注入可调用 SGMyInput.exe 的皮肤中心 CEF WebView，并将这个嵌入式浏览器导航到攻击者控制的任意页面。

关键放大因素在于：该 WebView 基于过时的 Chromium 80 引擎（2020 年 3 月版本），且沙箱保护与同源策略等安全机制均被禁用。攻击者进而利用旧版引擎的已知漏洞（如 CVE-2021-38003）实现任意代码执行------也就是说，这实际是一条「协议处理器参数注入 + 过时内核 RCE」的组合利用链。

2.3 危害场景

用户只需在聊天软件、网页、邮件中点开一条伪造链接一次，攻击者即可：

以当前用户权限完全控制终端，执行任意命令；
部署 GRAYRABBIT 后门程序，实现持久化驻留；
窃取数据、投放勒索软件，或以终端为跳板横向渗透企业内网。

由于输入法是操作系统级常驻软件、普遍以开机自启方式运行，且政企终端普遍使用管理员权限账户办公，实际危害被进一步放大。

第三章排查、修复与加固

3.1 排查方法

确认终端搜狗输入法版本是否低于 16.3.0.3498；检查是否存在可疑进程与外联。企业环境可批量排查：

查看安装路径下主程序版本

wmic datafile where "name like %SGTool%" get Version

排查可疑进程（biz_helper.exe 异常调用、不明外联）

tasklist | findstr /i "SGMyInput biz_helper"

netstat -ano | findstr ESTABLISHED

3.2 修复方案

升级客户端：到搜狗输入法官网（shurufa.sogou.com/windows）下载并升级至 16.3.0.3498 及以上版本；
企业批量分发：通过桌面管理/SCCM/Intune 将新版安装包统一下发，并以「版本低于 16.3.0.3498 即告警」作为巡检基线；
历史受害排查：对 9 月 10 日（漏洞公开）以来点击过不明链接的终端，重点检查持久化项（计划任务、注册表 Run 键、启动目录）与 GRAYRABBIT 后门特征，必要时断网取证。

3.3 防范建议

不要点击来历不明的链接，尤其警惕 sgbiz:// 等自定义协议开头的链接（浏览器与聊天工具点击前通常无任何拦截提示）；
发现终端存在异常进程、可疑后门、不明外联时，立即断开网络、留存取证信息并上报安全部门；
从供应链视角审视终端常驻国产软件：输入法、办公组件、播放器等高装机量软件的协议处理器与内嵌浏览器组件应纳入定期漏洞扫描范围。

2026年9月至今重大安全漏洞专题报告——国产软件与终端高危漏洞深度解析

目 录

第一章 事件概述

第二章 漏洞详情