В популярном редакторе Notepad++ нашли сразу несколько опасных уязвимостей, одна из которых позволяет запускать произвольный код через обычные функции программы. Проблема затрагивает миллионы пользователей, поскольку приложение давно стало неким стандартом для работы с текстом и кодом в Windows.
Разработчики выпустили обновление Notepad++ 8.9.6.1, где закрыли три бреши с идентификаторами CVE-2026-48770, CVE-2026-48778 и CVE-2026-48800. Наиболее серьёзной признали CVE-2026-48778 (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — 7.8). Ошибка связана с обработкой файла config.xml и параметра commandLineInterpreter. Программа использовала значение из конфигурации без проверки, а затем запускала указанный файл через функцию «Open Containing Folder in cmd».
Специалисты показали, что злоумышленник может подменить параметр и добиться запуска любого приложения. В демонстрации вместо командной строки открывался калькулятор Windows, что подтвердило возможность удалённого выполнения кода.
Атака требует действий со стороны пользователя, однако сценариев эксплуатации оказалось достаточно много. Нападающие могут изменить файл config.xml в каталоге AppData, использовать специальные ярлыки с параметром -settingsDir или подменять настройки через облачные каталоги синхронизации. Дополнительную угрозу создают архивы с заранее подготовленными файлами конфигурации, которые распространяют через методы социальной инженерии.
Другая уязвимость, CVE-2026-48770 (CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H — 5.0), приводила к сбоям приложения и отказу в обслуживании при обработке повреждённых структур данных. CVE-2026-48800 (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — 7.8) также позволяла выполнить произвольный код из-за некорректной обработки файла shortcuts.xml.
Основная брешь получила классификацию CWE-78, связанную с внедрением системных команд. Авторы отчёта отмечают, что низкая сложность эксплуатации и отсутствие необходимости в повышенных привилегиях делают проблему особенно опасной для корпоративных сред.
Разработчики рекомендуют как можно быстрее установить Notepad++ 8.9.6.1. Дополнительно администраторам советуют следить за изменениями файлов конфигурации и ограничить права записи в чувствительные каталоги Windows.