רכיב בשם SGTool.exe, חלק מתוכנת הקלט Sogou ל-Windows, מוריד את ההגדרות שלו דרך חיבור HTTP שאינו מוצפן. מי שיכול להתערב בתעבורה הזאת יכול להחזיר לרכיב הגדרות משלו, ומשם לגרום לו להוריד קבצים שהתוקף בחר אל מקומות שהתוקף בחר על המחשב. הציון הוא 8.9 מתוך 10 בסולם CVSS 4.0.

מה החולשה?

כשתוכנה מורידה הגדרות מהשרת של היצרן, היא צריכה לדעת שמה שחזר אליה באמת הגיע משם. חיבור מוצפן נותן לה את שני הדברים האלה: הוא מאמת מי עומד בצד השני, והוא מונע ממי שיושב על הדרך לשנות את התשובה לפני שהיא מגיעה. חיבור HTTP רגיל אינו נותן אף אחד מהשניים.

לפי הרשומה, מנגנון שליפת ההגדרות של SGTool.exe עובד דרך חיבורי HTTP לא מוצפנים, ולכן מי שיכול להתערב בתעבורה של המחשב יכול להחליף את התשובה של השרת הלגיטימי בתשובה שלו. הדבר אינו נעצר בהגדרות עצמן. הרשומה אומרת שההגדרות האלה יכולות להורות לרכיב להוריד קבצים שתוכנם בשליטת התוקף אל נתיבים שרירותיים, ובכלל זה אל נתיבים שבהם יושבים רכיבים לגיטימיים של התוכנה.

וכאן נסגר המעגל. בפעם הבאה שהתוכנה תטען או תריץ את אותם רכיבים, היא תטען את מה שהתוקף שם במקומם, והתוצאה שהרשומה נוקבת בה היא הרצת קוד שרירותי. התוקף לא היה צריך לפרוץ את התוכנה, הוא השתמש במנגנון העדכון שלה כפי שהוא בנוי.

לרשומה אין סיווג CWE, כלומר לא נקבעה לה קטגוריה רשמית של מחלקת כשל, ולכן אין כאן מה להוסיף על התיאור עצמו.

מהווקטור עולים שני פרטים שמצמצמים את התמונה. התקיפה אינה עומדת בפני עצמה: היא דורשת תנאים נוספים וגם פעולה מצד המשתמש, והתנאי הראשון הוא שהתוקף יוכל להתערב בתעבורה של המחשב. מצד שני, ההשפעה מסומנת כגבוהה גם על המערכת שמעבר לתוכנה הפגיעה עצמה.

מי מושפע?

מי שמריץ את תוכנת הקלט Sogou על Windows. זאת תוכנה להקלדת סינית, ובקרב דוברי סינית היא מהנפוצות בתחומה. הרשומה אינה נוקבת בגרסאות המושפעות ואינה מציינת גרסה מתקנת, כך שאין כאן מספר שאפשר להשוות אליו.

בישראל מדובר בקהל קטן, ונאמר את זה בפירוש: מי שאינו מקליד סינית כנראה לא התקין את התוכנה הזאת מעולם. מי שכן עשוי להיות חשוף הם מי שעובדים מול סין, לומדי סינית, ועובדים בחברות עם פעילות שם. אם אתם בטוחים שהתוכנה אינה אצלכם, העמוד הזה אינו נוגע לכם.

יש גם צד מקומי לחולשה הזאת. מפני שהתוקף צריך להיות מסוגל להתערב בתעבורה, החשיפה גבוהה יותר ברשתות שאינן שלכם, וגם במצבים שבהם מישהו שולט בתשובות ה-DNS או בנתב שדרכו אתם יוצאים לאינטרנט.

האם מנוצלת בפועל?

נכון לעדכון האחרון, החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמאגדת חולשות שיש עליהן ראיות לניצול בשטח. כלומר אין שם ניצול שנרשם.

זה אינו אומר שלא נעשה בה שימוש, ובמקרה הזה יש סימן לכך בגוף הרשומה עצמה. בין המקורות שהיא מפנה אליהם יש פרסום מחקר של ESET, שלפי כותרתו עוסק בחטיפה של מנגנון בתוכנת הקלט Sogou לצורך הפצת נוזקה. מי שרוצה לדעת מה תועד בשטח ימצא שם יותר ממה שיש ברשומה.

הרשומה פורסמה ב-4 בנובמבר 2026, כך שמדובר במידע טרי. הקטלוג מתעדכן, וגם העמוד הזה.

מה עושים?

1. בדקו קודם אם התוכנה מותקנת אצלכם בכלל. ב-Windows: הגדרות, אפליקציות, ואז חיפוש השם Sogou ברשימת התוכנות המותקנות. אם היא אינה שם, אין לכם מה לעשות כאן.

2. הרשומה אינה נוקבת בגרסה מתקנת, ולכן אין מספר יעד לכתוב כאן. דף יומן השינויים של Sogou, שמופיע ברשומה כמקור, הוא המקום שבו מתפרסמות הגרסאות החדשות, ושם כדאי לבדוק אם יצאה גרסה שמטפלת בכך.

3. עד שיש גרסה מתוקנת, הצמצום המעשי נובע מהתנאי של התקיפה. התוקף צריך לשבת על התעבורה שלכם, ולכן הימנעו מהרצת התוכנה כשאתם מחוברים לרשת שאינכם סומכים עליה, ובמיוחד רשתות אלחוטיות ציבוריות.

4. אם אינכם משתמשים בתוכנה בפועל, הסירו אותה. רכיב שאינו מותקן אינו מוריד לעצמו הגדרות, וזאת ההגנה היחידה כאן שאינה תלויה ביצרן.

5. אם אתם מנהלים מחשבים בארגון, שווה לבדוק אם התוכנה הזאת מותקנת על תחנות שאתם אחראים להן. היא מגיעה לרוב בהתקנה של המשתמש עצמו ולא דרך מערך ההתקנות הארגוני, ולכן היא מהסוג שאינו מופיע ברשימות הרשמיות.