CVE-2026-120422CVSS 8.9品牌推广配置经未加密连接获取
SGTool.exe 使用 HTTP 获取配置，控制 DNS 解析或网络路径的攻击者可替换指令，将可执行载荷放入组件加载位置。ESET CNA 给出 CVSS 4.0 8.9 分，Windows 16.10 之前版本受影响。
搜狗 Windows 输入法明文 HTTP 配置遭劫持，用于投放 DarkVigil
ESET 观察到攻击者重定向搜狗输入法的 HTTP 配置请求，在 Windows 上投放 DarkVigil。攻击需要操纵 DNS 或网络路径，具体劫持位置仍不明。升级至 16.10，并调查既有感染；更新不能证明已植入的主机恢复干净。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- CVSS 8.9
- 本页收录 1 个 CVE
- 波及范围
- 16.10 之前的 Windows 搜狗输入法，且攻击者可通过 DNS／网络操纵重定向其 HTTP 配置流量。
- 搜狗 · Windows · DNS 劫持
- 在野利用
- 已发现
- ESET 观察到恶意 SGTool.exe 配置下发及 DarkVigil 执行。
发生了什么
ESET 描述的是定向监控行动，不是全部搜狗安装遭入侵，也不能证明腾讯服务器被攻破。受影响 Windows 组件经 HTTP 获取品牌词库图标配置；在受害环境中，DNS 将合法配置域名指向攻击者暂存服务器。替代配置把签名 Adobe helper 及 DarkVigil DLL 放到现有组件加载流程使用的位置，实现 DLL 侧载及持久化。
攻击需要控制 DNS 解析或流量路径，ESET 未能确定操纵发生在路由器、运营商或其他位置。研究称自 7 月 1 日起，在香港、泰国、日本、越南、斯里兰卡及阿曼观察到搜狗相关活动；更广、较早的 DarkVigil 生态另行讨论，没有公开受害者总数或损失总额。ESET 将这一与中国利益一致的活动集群称为 SlippyNunchucks，称未发现足以建立 Mustang Panda 关联的重叠。这是研究者判断，不是已确认身份，也不能证明此前提及的全部应用均使用同一攻击路径。
L4 依据是经广泛使用的客户端进行的实际恶意下发与执行。本条对应 CVE-2026-120422，不是报告回顾的另一个 CVE-2026-51990。CNA 将受影响平台列为 Windows，不能据此认定移动端存在同样漏洞。16.10 修复下发弱点，但此前植入的恶意程序及插件仍需事件响应。原报告中 10 月 29／30 日的修复日期差异已保留，两者均不改变 11 月 4 日的公开披露日。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Windows 搜狗输入法 | 16.10 | 厂商将受影响请求改为 HTTPS；ESET 还报告启用证书固定 |
案发时间线
2026年7月1日
ESET 开始观察到经搜狗投放 DarkVigil
这是针对特定环境的回溯遥测日期，不是公开披露日。
2026年9月11日
ESET 向腾讯安全报告弱点
2026年9月21日
腾讯确认问题
2026年10月30日
官方 16.10 更新日志记录安全修复
ESET 披露时间线也将修复列为 10 月 30 日，但正文一处另写 10 月 29 日。版本下限一致，原报告的日期存在内部差异。
2026年11月2日
ESET 分配 CVE 编号
2026年11月4日
ESET 公开行动及技术分析
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- ESET 原始 SlippyNunchucks 调查一手来源
- 搜狗官方 Windows 更新日志一手来源10 月 30 日发布 16.10 并修复安全问题，原始中文按 GB18030 解码。
- ESET 编写的 CNA 记录一手来源
- ESET 原始指标及样本哈希文件一手来源