Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Обновляйте Notepad++: баг в config.xml открывал путь к выполнению кода

Разработчики Notepad++ выпустили версию 8.9.6.1, закрыв сразу несколько уязвимостей, включая опасные баги, которые при определённых условиях позволяли выполнить произвольный код.

Обновление вышло 26 мая 2026 года. В нём исправлены три уязвимости: CVE-2026-48770, CVE-2026-48778 и CVE-2026-48800.

Проблемы затрагивают версии Notepad++ вплоть до 8.9.6 и в основном связаны с тем, как приложение обрабатывает конфигурационные файлы.

Самая серьёзная из них — CVE-2026-48778. Уязвимость находится в механизме обработки файла config.xml, а точнее параметра <GUIConfig name="commandLineInterpreter">. Notepad++ считывал это значение без нормальной проверки, контроля белого списка и проверки целостности, а затем использовал его при запуске функции «Открыть директорию в cmd».

В результате злоумышленник мог подменить исполняемый файл, который запускается через Notepad++. В демонстрационном сценарии в конфигурацию подставляли calc.exe, после чего вместо командной строки открывался калькулятор Windows. Сам по себе калькулятор, конечно, никого не пугает, но смысл PoC предельно понятен: вместо него можно подсунуть куда менее безобидный исполняемый файл.

Для эксплуатации уязвимости требуется действие пользователя. Атакующий может изменить файл %APPDATA%\Notepad++\config.xml в контексте текущего пользователя, раздать вредоносный ярлык с параметром -settingsDir, указывающим на подконтрольную директорию, или отравить синхронизируемые через облако конфигурации.

Есть и более приземлённый вариант: социальная инженерия. Пользователя можно убедить распаковать подготовленный архив в нужное место внутри AppData, а дальше Notepad++ сам аккуратно подхватит изменённые настройки.

Помимо CVE-2026-48778, обновление закрывает ещё две проблемы. CVE-2026-48770 связана с аварийным завершением работы при обработке некорректных структур и может приводить к отказу в обслуживании. CVE-2026-48800 описана как ещё одна уязвимость выполнения произвольного кода, связанная с неправильной обработкой файла shortcuts.xml.

Пользователям и организациям рекомендуется как можно быстрее обновить Notepad++ до версии 8.9.6.1.

Жителю Кургана грозит штраф до 5 тысяч рублей за поиск запрещённой песни

В Кургане составили административный протокол на 19-летнего местного жителя, который нашёл в интернете композицию, признанную экстремистской, и прослушал её с помощью программы для обхода блокировок. Об этом сообщило региональное управление МВД.

По данным ведомства, которые передаёт РБК, молодой человек целенаправленно искал аудиозапись, запрещённую на территории России, а затем получил к ней доступ через специальное средство.

Название композиции и обстоятельства, при которых правоохранители узнали о прослушивании, в сообщении не раскрываются.

Протокол составили по статье 13.53 КоАП РФ — за поиск заведомо экстремистских материалов и получение доступа к ним. Для граждан она предусматривает штраф от 3 тыс. до 5 тыс. рублей.

Поправки, установившие ответственность за умышленный поиск таких материалов в интернете, в том числе через VPN, президент Владимир Путин подписал летом 2025 года.

К запрещённым относятся материалы из федерального списка Минюста, а также подпадающие под определение закона «О противодействии экстремистской деятельности». Сейчас реестр включает около 5,5 тыс. позиций.

Ключевым условием ответственности является заведомость: речь идёт не о случайно открытой странице или неожиданно заигравшем треке, а об осознанном поиске материала, о запрете которого пользователю известно. Как именно это намерение доказывалось в курганском деле, МВД не уточнило.

RSS: Новости на портале Anti-Malware.ru