Microsoft поправя опасен бъг в сигурността на Notepad Markdown в Windows 11

• Microsoft поправя грешка в дистанционното изпълнение на код в модерното приложение Notepad.
• Грешката включваше неправилно дезинфекцирани специални символи в злонамерени Markdown (.md) файлове.
• Инцидентът подхранва дебат относно добавянето на изкуствен интелект и други ненужни функции към традиционно прости приложения.
• Уязвимостта е отстранена с актуализацията от февруари 2026 г., достъпна чрез Windows Update и Microsoft Store.

Microsoft поправи нова уязвимост в съвременната версия на приложението Notepad, която би могла да позволи на атакуващите да превземат вашата система Windows 11 с един прост трик.

Проблемът, проследен като CVE-2026-20841 , е грешка в дистанционното изпълнение на код, засягаща приложението за водене на бележки, особено при работа с Markdown файлове. Според Ръководството за актуализации на сигурността на Microsoft, приложението не е успяло правилно да „дезинфекцира“ определени специални символи, вградени в създадените връзки. Нападател може да създаде злонамерен файл „.md“ и да убеди потребителя да го отвори.

Ако потребителят след това щракне върху вградената връзка, може да се стартира скрипт, да се изтеглят допълнителни полезни товари и да се изпълни код в системата. В успешен сценарий, атакуващият може да получи същите привилегии като влезлия потребител.

Microsoft твърди, че не е видяла никой активно да използва недостатъка. Въпреки това, сериозността му е била достатъчно сериозна, за да може компанията незабавно да пусне поправка като част от актуализацията Patch Tuesday от февруари 2026 г.

Това, което прави този случай особено интересен, е скорошната негативна реакция около еволюцията на Notepad. В исторически план приложението е било минималистичен, офлайн текстов редактор, практически без възможност за атака, освен основната работа с файлове.

Въпреки това, сега, колкото повече функции се добавят, като например подобрения в рендирането на Markdown и интеграция с Copilot, която разчита на мрежова свързаност, толкова повече врати се отварят за атаки.

Microsoft отстрани недостатъка чрез актуализациите си за сигурност от 10 февруари 2026 г. Корекцията е достъпна чрез Windows Update и механизма за актуализиране на приложенията в Microsoft Store. Потребителите трябва да инсталират най-новите кумулативни актуализации и да се уверят, че Notepad е напълно актуализиран от Store, за да поправят уязвимостта.

От редакционна гледна точка, този инцидент потвърждава дългогодишен принцип в софтуерния дизайн. Простотата е функция за сигурност.

Първоначалната най-добра характеристика на Notepad беше неговият минимализъм. Тъй като софтуерният гигант продължава да модернизира дори най-основните си инструменти, всяка нова възможност трябва да бъде преценена спрямо свързания с нея риск. Например, функции като интеграция с изкуствен интелект може да предлагат удобство, но също така изискват по-силна защита.

Честно казано, Notepad не е единственото приложение за водене на бележки с проблеми. Наскоро широко популярното приложение Notepad++ също беше компрометирано от злонамерени лица. Проблемът обаче беше на доставчика на хостинг услуги, който позволяваше на атакуващите да пренасочват потребители към злонамерени сървъри чрез компрометирани манифести на актуализации, и беше проблем със самото приложение.

Оттогава разработчикът вече е сменил доставчиците и е пуснал актуализирана версия на Notepad++, за да подобри сигурността.