PoC lansat pentru vulnerabilitatea Windows Notepad

Microsoft a remediat o vulnerabilitate de severitate high de executare a codului de la distanță (RCE) în aplicația modernă Windows Notepad, identificată ca CVE-2026-20841, ca parte a ciclului de lansare Patch Tuesday din februarie 2026.

Vulnerabilitatea are la bază injectarea de comenzi și exploatarea cu succes permite unui atacator să execute comenzi arbitrare în contextul de securitate al contului utilizatorului, prin determinarea acestuia să acceseze un fișer Markdown malițios și dea click pe un hyperlink rău intenționat.

Notepad-ul modern pentru Windows distribuit prin Microsoft Store și diferit de vechiul Notepad.exe inclus în Windows — acceptă redarea Markdown pentru fișierele cu extensia .md. Când se deschide un fișier Markdown, Notepad codifică conținutul acestuia și redă link-urile în mod interactiv.

Funcția vulnerabilă, sub_140170F60(), gestionează evenimentele de accesare pe aceste link-uri și transmite valorea link-ului către Windows API call ShellExecuteExW() după aplicarea unei filtrări minime.

Această filtrare elimină doar caracterele backslash și slash din începutul și sfârșitul adresei, fără a bloca adresele URI de protocoale rău intenționate, precum file:// și ms-appinstaller://, care pot fi utilizate pentru a încărca și executa fișiere controlate de atacatori la distanță sau local, fără a declanșa avertismentele standard de securitate Windows.

Deoarece ShellExecuteExW() invocă gestionarii de protocoale de sistem configurați, suprafața de atac se poate extinde la protocoale suplimentare, în funcție de configurația sistemului vizat.

Conform raportului unor specialiști, exploatarea acestei vulnerabilități implică trimiterea de către atacator a unui fișier infectat către utilizator prin email, link de descărcare sau tehnici de inginerie socială.

Deși fișierele .md nu sunt asociate în mod implicit cu Notepad, utilizatorii care le deschid manual declanșează redarea Markdown, făcând vulnerabilitatea exploatabilă.

Vulnerabilitatea afectează versiunile Notepad 11.2508 și anterioare; remedierea este furnizată prin Microsoft Store în versiunea 11.2510 și ulterioare. Versiunea veche Notepad.exe nu este afectată.

Microsoft nu listează soluții alternative disponibile și desemnează interacțiunea utilizatorului ca o condiție prealabilă pentru exploatare.

Sursă: https://cybersecuritynews.com/poc-windows-notepad-vulnerability/