Bastava un solo click per prendere il controllo del PC. Stiamo parlando della catena di exploit scoperta da Gen Threat Labs: un link, un clic e il computer era compromesso. È lo scenario ricostruito dai ricercatori di Gen Threat Labs, il team globale di ricerca e intelligence sulle minacce informatiche di Gen Digital, ovvero la divisione che analizza miliardi di segnali digitali per identificare truffe, malware e rischi emergenti, fornendo i dati e le tecnologie di sicurezza che proteggono gli utenti di celebri marchi di cybersecurity come Norton, Avast, LifeLock.
I ricercatori hanno individuato una catena di vulnerabilità capace di trasformare un semplice collegamento malevolo in un punto d’ingresso per il cyber-spionaggio. A rendere il caso particolarmente interessante è il fatto che nessuno dei difetti, preso da solo, sarebbe stato sufficiente.
Tre falle, un link e la backdoor GRAYRABBIT sul computer
Il primo anello della catena è un’iniezione di parametri nel gestore del protocollo personalizzato sgbiz:, che consente a un link di passare istruzioni non previste all’applicazione.
Il secondo è la possibilità di aprire URL arbitrari all’interno di un browser integrato nel software.
Il terzo è forse il più allarmante: quel browser si basava su una versione di Chromium vecchia di oltre sei anni, priva di sandbox e con diverse protezioni di sicurezza disattivate.
Messi in fila, questi elementi permettevano di eseguire codice sul computer della vittima semplicemente convincendola a cliccare su un link costruito ad arte. Non si trattava di un rischio teorico. Secondo i ricercatori, il gruppo di cyber-spionaggio UNC3569, collegato alla Cina, stava già utilizzando la vulnerabilità in attacchi reali per installare un malware chiamato GRAYRABBIT.
La dinamica osservata è lineare. Dopo il clic partiva un exploit JavaScript contro il browser integrato, poi venivano scaricati componenti malevoli da server controllati dagli aggressori. L’ultimo passaggio era l’installazione della backdoor, che garantiva agli attaccanti un controllo ampio sulla macchina: esecuzione di comandi da remoto, apertura di shell interattive, caricamento e download di file, installazione di moduli aggiuntivi e accesso persistente al sistema.
La falla è stata catalogata come CVE-2026-51990 e segnalata a Tencent, proprietaria di Sogou. L’azienda ha risolto il problema nell’aprile 2026 con un aggiornamento automatico, un dettaglio che limita i rischi per chi mantiene il software aggiornato ma non cancella la lezione emersa dal caso.
Considerazioni
La vicenda mostra quanto errori apparentemente scollegati possano diventare pericolosi quando si sommano. Un gestore di protocollo troppo permissivo, un browser embedded che accetta qualsiasi indirizzo e un motore obsoleto senza le difese moderne formano insieme un percorso di attacco quasi privo di ostacoli.
Per chi si occupa di sicurezza, in particolare nel canale MSP e nei reparti IT, il messaggio è concreto. Le applicazioni che incorporano componenti di terze parti, browser inclusi, vanno trattate come superfici di attacco a tutti gli effetti. Inventariare il software installato, verificare che si aggiorni davvero e limitare i privilegi con cui gira restano le contromisure più efficaci. Contro un exploit da un clic, la prima difesa è non lasciare in giro componenti vecchi di sei anni.
Per approfondire
Il report completo dei ricercatori è disponibile sul blog di Gen Digital. Chi vuole conoscere le soluzioni Avast per proteggere endpoint e clienti può consultare la pagina dei prodotti Avast su Avangate Security, mentre tutte le informazioni sull’offerta del Vendor si trovano sul sito ufficiale di Avast.