Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Разработчики Notepad++ выпустили версию 8.9.6.1, закрыв сразу несколько уязвимостей, включая опасные баги, которые при определённых условиях позволяли выполнить произвольный код.

Обновление вышло 26 мая 2026 года. В нём исправлены три уязвимости: CVE-2026-48770, CVE-2026-48778 и CVE-2026-48800.

Проблемы затрагивают версии Notepad++ вплоть до 8.9.6 и в основном связаны с тем, как приложение обрабатывает конфигурационные файлы.

Самая серьёзная из них — CVE-2026-48778. Уязвимость находится в механизме обработки файла config.xml, а точнее параметра <GUIConfig name="commandLineInterpreter">. Notepad++ считывал это значение без нормальной проверки, контроля белого списка и проверки целостности, а затем использовал его при запуске функции «Открыть директорию в cmd».

В результате злоумышленник мог подменить исполняемый файл, который запускается через Notepad++. В демонстрационном сценарии в конфигурацию подставляли calc.exe, после чего вместо командной строки открывался калькулятор Windows. Сам по себе калькулятор, конечно, никого не пугает, но смысл PoC предельно понятен: вместо него можно подсунуть куда менее безобидный исполняемый файл.

Для эксплуатации уязвимости требуется действие пользователя. Атакующий может изменить файл %APPDATA%\Notepad++\config.xml в контексте текущего пользователя, раздать вредоносный ярлык с параметром -settingsDir, указывающим на подконтрольную директорию, или отравить синхронизируемые через облако конфигурации.

Есть и более приземлённый вариант: социальная инженерия. Пользователя можно убедить распаковать подготовленный архив в нужное место внутри AppData, а дальше Notepad++ сам аккуратно подхватит изменённые настройки.

Помимо CVE-2026-48778, обновление закрывает ещё две проблемы. CVE-2026-48770 связана с аварийным завершением работы при обработке некорректных структур и может приводить к отказу в обслуживании. CVE-2026-48800 описана как ещё одна уязвимость выполнения произвольного кода, связанная с неправильной обработкой файла shortcuts.xml.

Пользователям и организациям рекомендуется как можно быстрее обновить Notepad++ до версии 8.9.6.1.

ИИ ускоряет умных и топит доверчивых: эксперимент раскрыл цену ChatGPT

Доступ к ИИ-советнику на базе GPT-4 по-разному повлиял на владельцев малого бизнеса в Кении. Наиболее успешные предприниматели увеличили прибыль на 15%, а менее подготовленные потеряли около 10% дохода, выяснили исследователи Калифорнийского университета в Беркли, Гарварда и Колумбийского университета.

Эксперимент продолжался шесть месяцев. Сильные участники не воспринимали рекомендации модели как готовые команды, а адаптировали их к реальным условиям.

Например, закупали генераторы для работы во время отключений электричества или расширяли набор услуг.

Предприниматели с более слабыми навыками чаще применяли шаблонные советы без проверки. Рекомендация снизить цены могла выглядеть убедительно в окне чат-бота, но на практике уменьшала выручку. GPT-4 в таком случае выступал не бизнес-консультантом, а очень уверенным генератором убытков.

Проблема, по мнению исследователей, заключается не столько в технологии, сколько в отказе пользователя от критического мышления. Ранее эксперимент колледжа Дикинсона показал, что 97% участников скопировали заведомо неверный ответ ChatGPT даже при решении простой задачи. Группа без ИИ справилась лучше. Однако обычное напоминание проверить результат сразу удвоило точность.

Анализ 1,4 млн рабочих сессий KPMG дал похожую картину. Около 95% пользователей обращаются с ИИ как с торговым автоматом: запрашивают черновик или краткое содержание и забирают первый результат. Только 5% используют модель как партнёра по мышлению: задают контекст, направляют рассуждение и спорят с ответами.

Для компаний это означает, что сама доля сотрудников с доступом к ИИ почти ничего не говорит об эффективности внедрения. Универсальная инструкция тоже может навредить: разные задачи требуют разного уровня контроля. Нейросеть способна ускорить сильного специалиста и убедительно завести слабого не туда.

RSS: Новости на портале Anti-Malware.ru