先说清：针对性监视活动，不是大面积蠕虫
ESET 在 2026 年 11 月 4 日公开了一起针对性监视活动：中国相关组织 SlippyNunchucks 通过篡改 DNS 解析，劫持 Windows 版搜狗输入法一次原本走明文 HTTP 的配置请求，借此投递后门 DarkVigil（又称 FDMTP）。相关弱点编号为 CVE-2026-120422，ESET 给出的 CVSS 4.0 评分为 8.9。腾讯已在 10 月 29 日发布的 16.10 版中修复：把相关请求改走 HTTPS 并启用证书固定。本文只讲防御：影响范围、修复版本与自查步骤，不涉及任何利用细节。
影响范围与活动特点
受影响的是 Windows 版搜狗输入法 16.10 之前的版本（走明文 HTTP 品牌词推广配置机制的版本）。ESET 观测到该活动自 2026 年 7 月 1 日起出现，目标为香港、泰国、日本、越南、阿曼、斯里兰卡等地的机构与中文使用者。需要说明两点限度：第一，这次攻击的前提是 DNS 解析被篡改，ESET 明确表示篡改点尚不明确——它不是“任何一台装了旧版输入法的电脑都会在联网时自动中招”的大面积攻击；第二，截至本轮核查，该漏洞未进 CISA KEV（目录仍为 2026.11.04 版、1,768 条），不要把它写成 KEV 条目。另外，ESET 提到 9 月另一起搜狗输入法漏洞（CVE-2026-51990）是不同的投递路径，不要和本篇的 CVE-2026-120422 混为一谈。
修复：升到 16.10 或更新
唯一的版本级修复就是升到搜狗输入法 Windows 版 16.10 或更新版本。不用的设备直接卸载。更新后，相关配置请求不再走明文 HTTP，这条投递路径即被堵住。不要指望只改 DNS 或只装杀毒软件替代这次升级——问题出在应用自身的请求方式上，版本升级才是修复。
自查清单
- 先确认版本：打开搜狗输入法查看版本号，低于 16.10 的立即升级到 16.10 或更新；确认升级后版本号确实已变，不要只看“已是最新”的提示。
- 不用的输入法直接卸载，减少攻击面；多台设备要逐台核对，不要只升级常用的一台。
- 如果设备在 7 月以来长期用旧版本，且属于上述目标地区或机构场景：把这台设备当作“可能已暴露”来复核——检查有无输入法组件拉起的不明下载或不明进程，发现异常按入侵处置流程处理，并更换该设备上用过的重要密码。
- 网络侧可复核 DNS 解析是否异常：输入法配置请求是否被解析到了非官方地址。ESET 指出篡改点不明，单靠本地检查不能排除风险，版本升级仍是首要动作。
- 普通用户注意：这不是要求所有人恐慌，只是“用旧版 Windows 搜狗输入法的，先升到 16.10”——升完即不用再处理。
一句话总结：Windows 版搜狗输入法低于 16.10 的，升到 16.10 或更新；曾长期用旧版且处在目标场景的设备，再多做一步暴露复核。