Notepad++ napaden – co se stalo a jak chránit svůj počítač

• Účet poskytovatele hostingu Notepad++ byl napaden mezi červnem a prosincem 2025.
• Útočníci přesměrovali aktualizační provoz pro uživatele vestavěného aktualizačního programu na škodlivé servery.
• V ohrožení byli pouze uživatelé aktualizující prostřednictvím vestavěného aktualizačního programu. Ruční stahování z oficiálních zdrojů bylo bezpečné.
• Binární soubory aplikací nebyly napadeny. Útok zneužil slabé kontroly ověřování aktualizací.
• Vývojáři přešli na zabezpečeného hostitele, rotovali přihlašovací údaje a vylepšili ověřování aktualizačního programu WinGup.

Notepad++, široce používaná alternativa k nativní aplikaci Poznámkový blok ve Windows 11 , potvrdil, že účet jeho poskytovatele hostingu byl mezi červnem a prosincem 2025 napaden škodlivými aktéry. Únik umožnil útočníkům přesměrovat některé uživatele na škodlivé servery prostřednictvím napadených manifestů aktualizací.

Podle oficiálního prohlášení bezpečnostní experti identifikovali kompromitaci na úrovni infrastruktury u bývalého poskytovatele hostingu Notepad++. Útočníci zneužili systém k zachycení aktualizačního provozu směřujícího na notepad-plus-plus.org a zaměřili se na podmnožinu uživatelů se škodlivými aktualizačními soubory. Analytici naznačují, že cílená povaha útoku naznačuje spíše špionážní úsilí než rozsáhlou malwarovou kampaň.

Zlomyslní jedinci si zpočátku udržovali přístup k hostingovým serverům až do 2. září 2025. I po ztrátě přímého přístupu si uchovali interní přihlašovací údaje k službám až do 2. prosince 2025, což umožňovalo další zachycování aktualizačního provozu. Zranitelnost zneužívala známé zranitelnosti ve starších verzích Notepadu++, včetně nedostatečných kontrol ověřování aktualizací.

Koho to ovlivnilo?

Ohroženi byli pouze uživatelé, kteří aktualizovali Notepad++ prostřednictvím vestavěného aktualizačního programu mezi červnem a prosincem 2025. Uživatelé, kteří si instalační soubory stahovali ručně z oficiálních webových stránek nebo verzí GitHubu, však ovlivněni nebyli .

Bezpečnostní analytici potvrzují, že neexistují žádné důkazy o hromadném řízení a kontrole ani o rozsáhlém zneužití systému. Útok se zdá být vysoce cílený, pravděpodobně na konkrétní organizace nebo jednotlivce.

Náprava a vylepšení zabezpečení

Podle vývojáře aplikace Notepad++ přešel na nového, bezpečnějšího poskytovatele hostingu, aby se zabránilo budoucím kompromisům na úrovni infrastruktury.

Interní přihlašovací údaje u předchozího poskytovatele byly rotovány, čímž se zajistilo, že veškerý přetrvávající přístup útočníků byl zrušen.

Aktualizační program aplikace WinGup byl ve verzi 8.8.9 vylepšen tak, aby ověřoval certifikát i podpis instalačního programu, čímž se posílilo zabezpečení stahování aktualizací.

Očekává se také, že aplikace pro psaní poznámek v nadcházejících týdnech obdrží verzi 8.9.2, která bude u všech aktualizací vyžadovat přísné ověřování certifikátů XMLDSig a podpisů, což dále ochrání uživatele před neoprávněnými manipulacemi nebo přesměrováním.

Co by měli uživatelé dělat?

Tým Notepad++ naléhavě žádá všechny uživatele, aby ručně aktualizovali na verzi 8.9.1 nebo novější a resetovali přihlašovací údaje pro všechny služby spojené s předchozím hostingovým prostředím, včetně databází SSH, FTP a MySQL.

Je také vhodné spustit úplnou antivirovou kontrolu, pokud jste během daného období aktualizovali pomocí vestavěného aktualizačního programu.

Tento incident slouží jako připomínka rizik útoků na dodavatelský řetězec a nutnosti ověřovat pravost zdrojů a stahování softwaru. I důvěryhodné účty vývojářů mohou být napadeny, což zdůrazňuje důležitost robustního zabezpečení hostingu a důsledného ověřování aktualizací.