Notepad++ 突发三处高危安全漏洞：XML 配置文件遭篡改可执行任意代码，开发者紧急发布 v8.9.6.1 热修复版本

五月底，安全社区爆出一则足以让 Windows 用户警觉的消息。多位独立安全研究人员联合披露了流行文本编辑器 Notepad++ 的三处独立安全缺陷，其中两处达到高危级别，攻击者只需改动几个 XML 标签就能在受害者机器上悄悄执行任意程序。更棘手的是，相关的技术细节与可实际运行的漏洞利用代码已经流入公开渠道，留给普通用户和企业 IT 管理员反应的时间窗口正在迅速收窄。

两处代码执行漏洞：从 XML 配置到系统权限的"捷径"

这次风波的核心集中在 Notepad++ 处理本地 XML 配置文件时的信任边界缺失。开发团队确认，所有 8.9.6 及更早版本均受影响，而 5 月 26 日放出的 v8.9.6.1 是目前的唯一安全出口。

第一个高危漏洞编号 CVE-2026-48800，CVSS 评分 7.8，问题出在shortcuts.xml这个看似无害的快捷方式存储文件上。Notepad++ 允许用户自定义"运行"菜单中的命令，这本是为了方便程序员一键调用编译器或脚本。然而程序在读取该文件时几乎不做任何校验，攻击者一旦获得向用户配置目录写入的权限，就能在快捷命令标签里塞进精心构造的恶意载荷。这些被注入的条目会堂而皇之地出现在运行菜单中，名字可以起得极具迷惑性，比如伪装成"系统更新检查"或"项目构建脚本"。当用户随手点击，程序便会直接调用攻击者指定的可执行路径，相当于在受害者电脑上开了一道长期有效的后门。由于配置文件会随用户漫游数据持久保存，重启后恶意条目依旧存在，这种持久化机制对企业内网而言尤为危险。

紧随其后的是 CVE-2026-48778，同样拿到 7.8 的高危评分，但攻击路径换到了config.xml。这个文件里有个名为commandLineInterpreter的标签，原本只是用来记录用户偏好的命令行解释器路径。Notepad++ 在读取该值后，会原封不动地传递给 Windows 的 ShellExecute 函数。这意味着攻击者只要把标签内容替换成任意程序路径——比如calc.exe或者更隐蔽的恶意二进制——当用户通过菜单执行"打开所在文件夹的命令提示符"这一常规操作时，弹出来的就不是熟悉的黑色 CMD 窗口，而是攻击者预设的代码。研究人员放出的 PoC 演示极其简洁：修改一行 XML，点击菜单，计算器应声弹出，整个过程不需要管理员权限，也不需要复杂的社会工程铺垫。

本地拒绝服务漏洞：一条消息就能让编辑器崩溃

除了这两把"锋利的刀"，研究人员还捎带发现了一个相对温和但同样值得注意的缺陷，编号 CVE-2026-48770，CVSS 5.0。它的触发点在于 Windows 进程间通信机制，本地运行的其他进程可以向 Notepad++ 发送畸形的内部消息。编辑器在处理这些输入时完全没有做边界检查，直接导致内存访问异常和程序崩溃。虽然它不能像前两个漏洞那样被用来植入木马，但在某些场景下，攻击者可以借此制造"烟雾弹"——趁用户反复重启编辑器的间隙掩盖其他恶意行为，或者通过持续的崩溃干扰正常工作流。公开的 PowerShell 脚本已经证明，触发这个拒绝服务漏洞只需要几行代码，门槛低到令人不安。

利用代码公开后，风险曲线陡然上升

通常来说，漏洞从披露到被广泛利用之间有一段缓冲期，但这一次情况不同。GitHub 上的安全公告不仅给出了详尽的技术分析，还附带了可直接复制粘贴的 XML 载荷和 PowerShell 脚本。对于攻击者而言，这几乎省去了逆向工程和漏洞挖掘的成本。企业安全团队最担心的场景正在变得触手可及：攻击者先通过钓鱼邮件或水坑攻击拿到初始 foothold，然后修改受害者本地 AppData 目录下的 XML 文件，建立起不依赖传统启动项的持久化通道。由于 Notepad++ 在开发者和运维人员群体中渗透率极高，很多生产环境的跳板机、日志分析工作站上都能找到它的身影，一旦被控，横向移动的跳板就此搭成。

修复方案与版本对照

好消息是 Notepad++ 维护者 Don Ho 的响应速度相当快，三个漏洞在披露当日即被一并修复。以下是具体的影响范围与补丁版本对照：

表格

对于个人用户，最直接的动作就是打开 Notepad++ 的"?"菜单，选择"检查更新"，或者前往官网下载页面手动获取 v8.9.6.1 安装包。企业环境则建议通过软件分发系统批量推送，同时临时收紧对%LOCALAPPDATA%\Notepad++目录的写入权限，防止在补丁覆盖完成前配置文件被篡改。安全研究人员还提醒，使用云同步工具（如 OneDrive、Dropbox）同步 Notepad++ 配置的用户需要额外留意，如果同步目录曾在不可信设备上挂载过，最好彻底重置一次 XML 配置文件。

写在最后

Notepad++ 作为轻量级编辑器的标杆，全球装机量保守估计也在数千万级别。这次事件再次暴露了一个老生常谈却常被忽视的问题：本地配置文件的安全边界往往比网络接口更加松散。攻击者不需要绕过防火墙、不需要构造复杂的网络载荷，只需修改几个明文 XML 标签就能达成代码执行。对于习惯把 Notepad++ 随手装在服务器或开发机上的技术从业者来说，v8.9.6.1 不是"可选项"，而是"必选项"。拖延升级的成本，可能远比一次紧急重启要高得多。