Microsoft недавно выпустила обновление безопасности, исправляющее серьезную уязвимость безопасности в Блокноте Windows. В случае успешной эксплуатации уязвимость может позволить хакерам удаленно выполнить вредоносный код и полностью захватить компьютер жертвы. Эта проблема отличается от ранее обнаруженных инцидентов безопасности в Notepad++ и конкретно затрагивает современную версию приложения Windows Notepad, доступную в Microsoft Store, в частности ее поведение при обработке файлов Markdown (.md).
Уязвимость под номером CVE-2026-20841 классифицируется как уязвимость удаленного выполнения кода (RCE). Основная причина заключается в том, что Блокнот недостаточно очищает или блокирует опасные специальные символы при обработке определенных команд. Согласно инструкциям Microsoft в руководстве по обновлению безопасности, злоумышленники могут создавать специально созданные вредоносные файлы Markdown и встраивать в них тщательно замаскированные ссылки. Как только пользователь откроет файл с помощью Блокнота и нажмет на ссылку, может быть запущена цепочка атак и запущен скрипт для загрузки и выполнения вредоносного кода. Если процесс атаки успешен, хакер может получить полный контроль над целевым компьютером, а затем получить доступ к различным ресурсам и разрешениям в операционной системе.
Что касается рейтинга риска, базовый балл уязвимости CVSS v3.1 составляет 8,8, что соответствует уровню «высокого риска». Microsoft также отметила его как «важное» в своей системе. На момент выпуска патча Microsoft заявила, что не обнаружила публично используемой уязвимости, но по-прежнему призывала пользователей как можно скорее завершить обновление системы, чтобы снизить потенциальные риски.
Это исправление было включено в обычное обновление безопасности для Patch Tuesday в феврале 2026 г. и было официально выпущено 10 февраля 2026 г. Microsoft рекомендует пользователям установить последние обновления Windows и убедиться, что приложение Notes, полученное из Microsoft Store, является последней версией, чтобы получить соответствующие исправления безопасности. Пользователи также могут просмотреть запись об уязвимости на портале безопасности Microsoft для получения более подробной технической информации и инструкций по исправлению.
Инцидент также вызвал у некоторых пользователей вопросы по поводу решения Microsoft предоставить Блокноту сетевые возможности. Некоторые пользователи считают, что Блокнот, как простой текстовый редактор, не требует непрерывной работы в сети, но доступ к сети увеличивает потенциальную поверхность атаки. Однако в настоящее время разрешение Блокноту доступа к Интернету является одним из обязательных условий для поддержания встроенной функции интеграции Copilot. Недавно Microsoft представила в Блокноте дополнительные инструменты форматирования и функции, связанные с искусственным интеллектом. Что касается необходимости появления Copilot в таком легковесном редакторе, то в сообществе пользователей до сих пор ведется много споров и дискуссий.
узнать больше:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20841