Außerplanmäßiges Update auf Version 8.9.6.1 Notepad++ patcht kritische Codeausführungslücken

Anbieter zum Thema

cidaas by Widas ID GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Notepad++-Entwickler liefern ein außerplanmäßiges Update gegen drei Schwachstellen. Zwei erlauben die Ausführung beliebigen Codes über manipulierte Konfigurationsdateien, die dritte legt den Editor lokal lahm. Vollständigen Schutz bietet erst Version 8.9.6.2.

Mit Version 8.9.6.1 vom 26.05.2026 beheben die Entwickler zwei der drei gemeldeten Fehler. Die schwerwiegendsten betreffen die Ausführung beliebigen Codes über config.xml (CVE-2026-48778) und über shortcuts.xml (CVE-2026-48800). CVE-2026-48778 ist nach CVSS 3.1 mit 8.8 als hoch eingestuft, CVE-2026-48800 stuft der Hersteller als kritisch ein, ein offizieller CVSS-Score liegt noch nicht vor. CVE-2026-48800 erfordert ein Update auf Version 8.9.6.2, alle älteren Versionen sind verwundbar. Die dritte Lücke endet in einem lokalen Absturz über eine fehlerhafte Inter­prozess­kommuni­kation (CVE-2026-48770) und stuft der Hersteller als hoch ein. Für CVE-2026-48778 und CVE-2026-48770 gilt Version 8.9.6 und älter als verwundbar.

Notepad++ lieferte monatelang Backdoors statt Updates

Notepad++-Super-GAU: Wie das Admin-Tool zur APT-Waffe wurde

Manipulierte config.xml startet fremde Programme

Der Parameter "commandLineInterpreter" in config.xml gelangt ungeprüft in die interne Verarbeitung. Beim Aufruf "File -> Open Containing Folder -> cmd" erzeugt der Editor ein Kommando aus diesem Wert und übergibt es an ShellExecute. Ein Angreifer hinterlegt darin einen beliebigen Pfad, woraufhin das eingeschleuste Programm anstelle der Kommandozeile anläuft. Ein Proof of Concept demonstriert den Start von calc.exe. Als Angriffswege gelten das direkte Schreiben in %APPDATA%\Notepad++\config.xml unter derselben Benutzerkennung, eine präparierte Verknüpfung mit dem Argument "-settingsDir=", das Vergiften eines Cloud-Sync-Verzeichnisses und das Auspacken eines Archivs ins AppData-Verzeichnis über Social Engineering. Die Lücke fällt unter CWE-78 OS Command Injection und wurde von Michele Piccinni gemeldet.

shortcuts.xml schmuggelt Befehle ins Run-Menü

Der Inhalt eines Command-Tags innerhalb der benutzerdefinierten Kommandos in shortcuts.xml landet ohne Validierung im Speicher. Ein Klick auf den Eintrag im Menü "Run" lässt den Editor ein Kommando bilden und an ShellExecute weiterreichen. Der unter­ge­scho­be­ne Befehl erscheint als regulärer Menüpunkt mit frei wählbarem Namen, zum Beispiel "System Update Check", und überdauert einen Neustart. Damit dient er als Persistenzmechanismus. Auch dieser Fehler zählt zu CWE-78 und geht auf Michele Piccinni zurück.

Fehlerhafte WM_COPYDATA-Nachricht stürzt den Editor ab

Ein lokaler Prozess in derselben interaktiven Windows-Sitzung sendet eine fehlerhafte WM_COPYDATA-Nachricht über den Übergabeweg COPYDATA_FULL_CMDLINE. Der Handler liest den Datenzeiger als unbegrenzte, NUL-terminierte Zeichenkette, anstatt die angegebene Länge cbData auszuwerten. Das Resultat ist ein zuverlässiger lokaler Denial of Service, den Windows mit einem APPCRASH-Eintrag und den Ausnahmecodes 0xc0000005 und 0xc000041d protokolliert. Die Schwachstelle fällt unter CWE-125 Out-of-bounds Read. Gemeldet haben sie Enrique de Clerck, Leonardo Gutiérrez und Daniel Cifuentes.

Video-Tipp #71: Harden Windows Security

Windows 11 härten mit PowerShell-Modul „Harden Windows Security“

Härtung und Folgen für Anwender

Die Behebung erzwingt für gestartete Programme einen absoluten Pfad gegen Hijacking. Den Parameter "commandLineInterpreter" hat Don Ho entfernt und durch den Befehl "PowerShell here" in den Menüs ersetzt. Bei Verknüpfungen außerhalb vertrauenswürdiger Verzeichnisse, darunter "Program Files", "Program Files (x86)", "Windows\System32" und "Windows", blendet der Editor künftig einen Bestätigungsdialog ein. Diese Sperre erfasst auch legitime Werkzeuge in eigenen Installationsverzeichnissen. In der Community diskutieren Entwickler eine Datei namens supressRunAlertDialog.xml im geschützten Programmverzeichnis, mit der Administratoren das frühere Verhalten ohne Rückfrage wiederherstellen.

Fazit

Notepad++ verlagert die Kontrolle über den Programmstart vom ungeprüften Konfigurations­wert auf einen absoluten Pfad mit Bestätigung. Anwender mit Interpretern und Compilern außerhalb der Systemverzeichnisse rechnen mit zusätzlichen Abfragen. Das Update auf Version 8.9.6.1 schließt CVE-2026-48778 und CVE-2026-48770. CVE-2026-48800 erfordert ein Update auf Version 8.9.6.2.

(ID:50859774)