Przez kilka miesięcy ktoś podmieniał plik aktualizacji Notepad++ na oficjalnym serwerze. Atak dotyczył tylko ściśle wybranych maszyn, a starsze wydania programu nie wykrywały oszustwa.
Atak przez oficjalny serwer aktualizacji. Twórcy Notepad++ nie brali udziału w procederze
Ataki miały trwać od czerwca do grudnia 2025, gdy przejęto proces aktualizacji na stronie notepad-plus-plus.org. Mechanizm sprawdzał żądania aktualizacji i w przypadku określonych celów przekierowywał aplikację do fałszywego manifestu, który podstawiał zainfekowaną wersję programu. W efekcie wybrane komputery pobierały edycję z komponentem umożliwiającym przejęcie zapisów z klawiatury oraz zdalną kontrolę nad urządzeniem. Atak był selektywny, co sugeruje kampanię ukierunkowaną na konkretne organizacje.
Zespół Notepad++ potwierdził, że źródłem incydentu było zewnętrzne włamanie do infrastruktury hostującej, a nie działania deweloperów. Starsze wydania programu miały niewystarczającą weryfikację aktualizacji, dlatego część użytkowników nieświadomie zainstalowała złośliwą kompilację. Niezależni badacze oceniają, że za kampanią mogła stać grupa powiązana z państwem, co wyjaśnia wąski dobór celów. To nie była masowa operacja, lecz precyzyjne uderzenie.
Wersja 8.9.1 naprawia problem. Przeniesiono też hosting aktualizacji
Twórcy zalecają instalację Notepad++ 8.9.1, która domyka lukę i wzmacnia proces sprawdzania aktualizacji. Dodatkowo zmieniono dostawcę infrastruktury dla strony i kanału update, aby ograniczyć ryzyko podobnych incydentów w przyszłości. Warto regularnie aktualizować aplikacje i zwracać uwagę na nietypowe zachowania programu, szczególnie w narzędziach używanych do pracy.
Notepad++ pozostaje popularnym edytorem, jednak ten incydent przypomina, że nawet zaufane projekty open source wymagają czujności i szybkich aktualizacji.
