Разработчики выпустили Notepad++ 8.9.6.1 и закрыли CVE-2026-48770, CVE-2026-48778 и CVE-2026-48800. Самые опасные бреши получили оценку 7,8 по CVSS и затрагивают сценарии с config.xml и shortcuts.xml. Для редактора, которым массово пользуются в Windows-средах, риск выглядит заметным.
Главная проблема связана с тем, как Notepad++ обрабатывал параметр commandLineInterpreter. Программа брала значение из конфигурации без проверки, а затем запускала указанный файл через штатную функцию «Open Containing Folder in cmd». Злоумышленник мог подменить настройки через AppData, ярлык с -settingsDir, облачную папку или подготовленный архив.
Пользователям лучше обновиться до Notepad++ 8.9.6.1. Администраторам стоит следить за изменениями config.xml и shortcuts.xml. В корпоративной среде права записи в чувствительные каталоги лучше ограничить заранее.