Unos hackers chinos aprovechan una vulnerabilidad crítica en el software de Tencent para ejecutar código con un solo clic

Un grupo de pi­ra­tas in­for­má­ti­cos vin­cu­la­do a China ha apro­ve­cha­do una vul­ne­ra­bi­li­dad de gra­ve­dad crí­ti­ca en el edi­tor de mé­to­dos de en­tra­da Sogou Input Method, de­sa­rro­lla­do por Ten­cent y uti­li­za­do por cien­tos de mi­llo­nes de per­so­nas en Win­dows. Este fallo per­mi­te la eje­cu­ción de có­di­go con un solo clic me­dian­te una ca­de­na de tres de­bi­li­da­des de se­gu­ri­dad re­la­cio­na­das con la ma­ni­pu­la­ción de ar­gu­men­tos y un na­ve­ga­dor ob­so­le­to.

El fallo de se­gu­ri­dad, re­gis­tra­do como CVE-2026-51990, surge por­que el ma­ni­pu­la­dor de pro­to­co­los no va­li­da ni lim­pia ade­cua­da­men­te cier­tos pa­rá­me­tros du­ran­te el pro­ce­sa­mien­to de URLs, lo que fa­ci­li­ta la in­yec­ción de ar­gu­men­tos. Ade­más, el soft­wa­re em­plea un motor Chro­mium su­ma­men­te an­ti­guo que ca­re­ce de múl­ti­ples años de par­ches y tiene el en­torno ais­la­do (sand­box) com­ple­ta­men­te des­ac­ti­va­do, per­mi­tien­do in­clu­so la lec­tu­ra de ar­chi­vos lo­ca­les.

El actor de ame­na­zas de­no­mi­na­do UNC3569 ha uti­li­za­do esta bre­cha para en­viar en­la­ces ma­li­cio­sos a las víc­ti­mas con el ob­je­ti­vo de ins­ta­lar una puer­ta tra­se­ra co­no­ci­da como Gray­Rab­bit. Dicha he­rra­mien­ta ma­li­cio­sa otor­ga a los ata­can­tes una ter­mi­nal in­ver­sa, ca­pa­ci­dad para eje­cu­tar pro­ce­sos, car­gar com­ple­men­tos, subir in­for­ma­ción a un ser­vi­dor de co­man­do y con­trol, y re­co­pi­lar datos del sis­te­ma afec­ta­do.

Tras la no­ti­fi­ca­ción del fallo por parte de Gen Th­reat Labs, Ten­cent lanzó una ac­tua­li­za­ción au­to­má­ti­ca que in­clu­ye una ve­ri­fi­ca­ción adi­cio­nal para los en­la­ces en el ma­ni­pu­la­dor de pro­to­co­los, aun­que la con­fi­gu­ra­ción y la ver­sión sub­ya­cen­te del na­ve­ga­dor se man­tu­vie­ron sin cam­bios.