Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Разработчики Notepad++ выпустили версию 8.9.6.1, закрыв сразу несколько уязвимостей, включая опасные баги, которые при определённых условиях позволяли выполнить произвольный код.

Обновление вышло 26 мая 2026 года. В нём исправлены три уязвимости: CVE-2026-48770, CVE-2026-48778 и CVE-2026-48800.

Проблемы затрагивают версии Notepad++ вплоть до 8.9.6 и в основном связаны с тем, как приложение обрабатывает конфигурационные файлы.

Самая серьёзная из них — CVE-2026-48778. Уязвимость находится в механизме обработки файла config.xml, а точнее параметра <GUIConfig name="commandLineInterpreter">. Notepad++ считывал это значение без нормальной проверки, контроля белого списка и проверки целостности, а затем использовал его при запуске функции «Открыть директорию в cmd».

В результате злоумышленник мог подменить исполняемый файл, который запускается через Notepad++. В демонстрационном сценарии в конфигурацию подставляли calc.exe, после чего вместо командной строки открывался калькулятор Windows. Сам по себе калькулятор, конечно, никого не пугает, но смысл PoC предельно понятен: вместо него можно подсунуть куда менее безобидный исполняемый файл.

Для эксплуатации уязвимости требуется действие пользователя. Атакующий может изменить файл %APPDATA%\Notepad++\config.xml в контексте текущего пользователя, раздать вредоносный ярлык с параметром -settingsDir, указывающим на подконтрольную директорию, или отравить синхронизируемые через облако конфигурации.

Есть и более приземлённый вариант: социальная инженерия. Пользователя можно убедить распаковать подготовленный архив в нужное место внутри AppData, а дальше Notepad++ сам аккуратно подхватит изменённые настройки.

Помимо CVE-2026-48778, обновление закрывает ещё две проблемы. CVE-2026-48770 связана с аварийным завершением работы при обработке некорректных структур и может приводить к отказу в обслуживании. CVE-2026-48800 описана как ещё одна уязвимость выполнения произвольного кода, связанная с неправильной обработкой файла shortcuts.xml.

Пользователям и организациям рекомендуется как можно быстрее обновить Notepad++ до версии 8.9.6.1.

Подпишитесь на новости

Торвальдс распробовал ИИ: кодить веселее, разгребать патчи — нет

Линус Торвальдс признался, что ему нравится использовать ИИ для программирования. Раньше создатель Linux относился к таким инструментам скептически, но теперь считает их полезными (особенно для задач, в которых сам не силен).

Как пишет ZDNet, Торвальдс рассказал об этом на Open Source Summit Europe. В качестве примера он привел собственный проект гитарной педали.

Интерфейс на C работал, но выглядел старомодно. Торвальдс подключил ИИ, чтобы улучшить его. Первый результат оказался ужасным: пришлось показать модели существующую реализацию и объяснить, что именно требуется изменить.

По мнению папы Линукса, вайб-кодинг помогает вернуть удовольствие от небольших проектов. На фоне профессионального ПО начинающему программисту трудно считать свои эксперименты значимыми, а ИИ позволяет быстрее получить осязаемый результат.

При этом для серьезных и важных задач Торвальдс призывает использовать ИИ осторожно. Он также отмечает обратную сторону автоматизации: инструменты помогают искать уязвимости, но заваливают сопровождающих ядро сомнительными отчетами и поверхностными исправлениями.

RSS: Новости на портале Anti-Malware.ru