Notepad++ ја поправи киднапираната механика за ажурирање користена за испорака на таргетиран малициозен софтвер

Notepad++ објави безбедносна закрпа за да ги затвори пропустите што биле искористени од напреден актер на закани од Кина за киднапирање на механизмот за ажурирање на софтверот и селективна испорака на малвер до одредени цели.

Верзијата 8.9.2 вклучува, како што вели одржувачот Don Ho, „двојно заклучување“ (double lock) дизајн со цел процесот на ажурирање да биде „робустен и практично невозможен за злоупотреба“. Ова опфаќа проверка на потпишаниот инсталер преземен од GitHub (воведена во верзија 8.8.9 и понови), како и новододадена проверка на потпишаниот XML што го враќа серверот за ажурирање на notepad-plus-plus[.]org.

Покрај овие подобрувања, воведени се и безбедносни измени во WinGUp, компонентата за автоматско ажурирање:

• Отстранување на libcurl.dll за елиминирање на ризикот од DLL side-loading
• Отстранување на две небезбедни cURL SSL опции: CURLSSLOPT_ALLOW_BEAST и CURLSSLOPT_NO_REVOKE
• Ограничување на извршувањето при управување со приклучоци (plugins) само на програми потпишани со истиот сертификат како WinGUp

Ажурирањето исто така адресира и ранливост со висока сериозност (CVE-2026-25926, CVSS оцена: 7.3) која може да доведе до извршување произволен код во контекст на тековната апликација.

„Ранливост од тип Unsafe Search Path (CWE-426) постои при стартување на Windows Explorer без апсолутна патека до извршната датотека“, изјави Ho. „Ова може да овозможи извршување на малициозна explorer.exe ако напаѓачот има контрола врз работниот директориум на процесот. Под одредени услови, ова може да доведе до извршување произволен код во контекст на тековната апликација.“

Овој развој следи неколку недели по откритието на Notepad++ дека пробив на ниво на хостинг провајдер им овозможил на напаѓачите од јуни 2025 година да го киднапираат сообраќајот за ажурирања и да ги пренасочуваат барањата на одредени корисници кон малициозни сервери, со цел испорака на компромитирано ажурирање. Проблемот бил откриен на почетокот на декември 2025 година.

Според Rapid7 и Kaspersky, манипулираните ажурирања им овозможиле на напаѓачите да испорачаат претходно недокументирана задна врата наречена Chrysalis. Инцидентот во синџирот на снабдување, следен под ознаката CVE-2025-15556 (CVSS оцена: 7.7), му се припишува на хакерска група поврзана со Кина наречена Lotus Panda.

На корисниците на Notepad++ им се препорачува да ажурираат на верзија 8.9.2 и да се осигураат дека инсталерите се преземени од официјалниот домен.

Извори:

• The Hacker News – Notepad++ Fixes Hijacked Update Mechanism Used to Deliver Targeted Malware The Hacker News