close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n Ein weiteres Update steht f\u00fcr Notepad++ bereit. Es schlie\u00dft drei Sicherheitsl\u00fccken, von denen zwei als hohes Risiko eingestuft sind und Angreifern erm\u00f6glichen, etwa Befehle oder gar Schadcode einzuschmuggeln und auszuf\u00fchren.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n In der Release-Ank\u00fcndigung zu Notepad++ v8.9.6.1<\/a> schreibt Entwickler Don Ho, dass die neue Version die drei Schwachstellen ausbessert. In der Konfigurationsdatei \u201econfig.xml\u201c gibt es keine Einschr\u00e4nkung f\u00fcr den Parameter \u201ecommandLineInterpreter\u201c, sodass etwa Angreifer mit Nutzerrechten den Eintrag anpassen oder mittels b\u00f6sartigem .lnk eigene Dateien starten lassen k\u00f6nnen. Damit diese Datei gestartet wird, m\u00fcssen Opfer \u201eDatei\u201c \u2013 \u201eAktuellen Ordner \u00f6ffnen\u201c und dort \u201eEingabeaufforderung (cmd)\u201c ausw\u00e4hlen. Die L\u00f6sung sieht vor, die erlaubten Eintr\u00e4ge etwa auf cmd.exe, powershell.exe oder bash.exe zu beschr\u00e4nken, eine Pfadpr\u00fcfung sowie eine R\u00fcckfrage bei Nutzern zu stellen (CVE-2026-48778<\/a>, CVSS 7.8, Risiko \u201ehoch\u201c).<\/p>\n Eine \u00e4hnliche Schwachstelle \u00f6ffnet das \u201e\u201c-Tag innerhalb von \u201e\u201c in der \u201eshortcuts.xml\u201c-Datei. Die f\u00fchrt aus, was immer dort eingetragen ist, nach dem Klick auf den entsprechenden Eintrag unter \u201eAusf\u00fchren\u201c im Notepad++-Men\u00fc. Hier soll ebenfalls die Nutzer-R\u00fcckfrage vor Ausf\u00fchrung helfen oder etwa eine Warnung, wenn dort neue Eintr\u00e4ge auftauchen, die nicht \u00fcber die Programm-GUI angelegt wurden (CVE-2026-48800<\/a>, CVSS 7.8, Risiko \u201ehoch\u201c). Die dritte L\u00fccke erm\u00f6glicht lokalen Prozessen, \u201eWM_COPYDATA\u201c-Nachrichten an Notepad++ zu schicken; mit pr\u00e4parierten Anfragen bringt das Notepad++ zum Absturz, ein Denial-of-Service ist m\u00f6glich (CVE-2026-48770<\/a>, CVSS 5.0, Risiko \u201emittel\u201c).<\/p>\n Aktualisierte Software-Version<\/p>\n Auf der Download-Seite des Notepad++-Projekts<\/a> steht die neue Version in verschiedenen Formaten zum Herunterladen bereit. Die aktualisierte Software m\u00fcssen Nutzerinnen und Nutzer derzeit noch manuell herunterladen und \u00fcberinstallieren. Der integrierte Update-Mechanismus von Notepad++ v8.9.5 meldet, die Software sei aktuell \u2013 Ho hat die neuen Releases (auch die Version v8.9.6) also noch nicht dar\u00fcber freigegeben.<\/p>\n Ende vergangener Woche hatte Don Ho Version v8.9.6 von Notepad++ ver\u00f6ffentlicht<\/a>. Sie schloss eine Sicherheitsl\u00fccke im Installer.<\/p>\n Siehe auch:<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Notepad++<\/a>: Download schnell und sicher von heise.de<\/p>\n
\n English<\/a>.<\/p>\n