نوت‌پد++ آسیب‌پذیری مکانیزم به‌روزرسانی ربوده‌شده برای توزیع بدافزار هدفمند را برطرف کرد

نرم‌افزار Notepad++ نسخه ۸.۹.۲ را با هدف رفع آسیب‌پذیری‌های امنیتی منتشر کرد که پیش‌تر توسط یک گروه هکری وابسته به چین موسوم به Lotus Panda مورد سوءاستفاده قرار گرفته بود. این گروه با نفوذ به سطح ارائه‌دهنده هاستینگ، از ژوئن ۲۰۲۵ ترافیک به‌روزرسانی را ربوده و کاربران خاصی را به سرورهای مخرب هدایت کرده بود تا بدافزاری ناشناخته با نام Chrysalis را توزیع کند. این حادثه زنجیره تأمین (supply chain) که با شناسه CVE-2025-15556 و امتیاز CVSS برابر ۷.۷ ردیابی می‌شود، در اوایل دسامبر ۲۰۲۵ کشف شد و بر اساس داده‌های Kaspersky و Palo Alto Networks Unit 42، افراد و سازمان‌هایی در ویتنام، استرالیا، فیلیپین، ایالات متحده، السالوادور، آمریکای جنوبی و اروپا در بخش‌های انرژی، مالی، دولتی و فناوری را هدف قرار داده بود.

به‌روزرسانی جدید شامل یک مکانیزم «قفل دوگانه» (double lock) برای تأمین امنیت فرآیند به‌روزرسانی، تأیید اعتبار نصب‌کننده امضاشده از GitHub و همچنین تأیید فایل XML امضاشده از سرور به‌روزرسانی است. علاوه بر این، تغییراتی در کامپوننت WinGUp اعمال شده، از جمله حذف فایل libcurl.dll برای جلوگیری از حملات DLL side-loading و محدودسازی اجرای مدیریت افزونه‌ها. این نسخه همچنین یک آسیب‌پذیری با شدت بالا (CVE-2026-25926، امتیاز CVSS: ۷.۳) از نوع Unsafe Search Path را برطرف می‌کند که می‌توانست منجر به اجرای کد دلخواه (arbitrary code execution) شود. به کاربران Notepad++ توصیه می‌شود فوراً به نسخه ۸.۹.۲ به‌روزرسانی کنند و نصب‌کننده را تنها از وب‌سایت رسمی دریافت نمایند.