Η Microsoft επιβεβαίωσε μια σημαντική ευπάθεια απομακρυσμένης εκτέλεσης κώδικα στη σύγχρονη εφαρμογή Notepad στα Windows 11. Η εταιρεία κυκλοφόρησε μια επιδιόρθωση μέσω του Patch Tuesday Φεβρουαρίου 2026.
Η ευπάθεια, που παρακολουθείται μέσω του CVE-2026-20841, επηρεάζει την εφαρμογή Notepad των Windows και έχει αξιολογηθεί σαν Σημαντική με βαθμολογία CVSS 8,8. Σύμφωνα με το Κέντρο Απόκρισης Ασφαλείας (MSRC από το Microsoft Security Response Center) της Microsoft, το ελάττωμα θα μπορούσε να επιτρέψει σε έναν απομακρυσμένο εισβολέα να τρέξει κώδικα σε έναν υπολογιστή εάν ένας χρήστης ανοίξει ένα ειδικά διαμορφωμένο αρχείο με Markdown στο Notepad και κάνει κλικ σε έναν κακόβουλο σύνδεσμο.
Ναι, μιλάμε για το Notepad.
Ο ελαφρύς επεξεργαστής κειμένου που μέχρι πρόσφατα, μπορούσε να ανοίγει μόνο αρχεία .txt έχει εξελιχθεί σε μια σύγχρονη εφαρμογή με Markdown, συνδέσμους με δυνατότητα κλικ και ενσωμάτωση Copilot. Όμως όλα αυτά τα πρόσθετα προσφέρουν μια μεγαλύτερη επιφάνεια επίθεσης από ό,τι είχε το κλασικό Notepad απλού κειμένου.
Ίσως κάποια πράγματα είναι καλύτερο να μην αλλάζουν.
Η Microsoft αναφέρει ότι το πρόβλημα προέρχεται από ένα command injection. Αυτό σημαίνει ότι το Σημειωματάριο (Notepad) μπορεί να τρέξει μη επαληθευμένα πρωτόκολλα από συνδέσμους μέσα σε ένα αρχείο Markdown, κάτι που μπορεί να οδηγήσει στη φόρτωση και εκτέλεση απομακρυσμένου περιεχομένου.
Με απλά λόγια, οι εισβολείς θα μπορούσαν να στείλουν ένα email και να σας ξεγελάσουν ώστε να ανοίξετε ένα κακόβουλο αρχείο .md και να το δείτε στο Σημειωματάριο. Αν τώρα κάνετε κλικ στον σύνδεσμο που υπάρχει στο Σημειωματάριο, χωρίς να τπ σκεφτείτε, καθώς πρόκειται για ένα απλό πρόγραμμα επεξεργασίας κειμένου, τότε ο κακόβουλος κώδικας θα μπορούσε να εκτελεστεί με τα ίδια δικαιώματα που έχει ο λογαριασμός χρήστη σας. Αν είστε συνδεδεμένοι σαν διαχειριστής, το πρόβλημα θα είναι πολύ μεγαλύτερο.
Η Microsoft αναφέρει ότι δεν έχει παρατηρήσει κάποιο exploit και η ευπάθεια δεν είχε δημοσιοποιηθεί πριν από την επιδιόρθωση.
Τα κακά νέα είναι ότι η επίθεση απαιτεί μόνο αλληλεπίδραση χρήστη, πράγμα που σημαίνει ότι ένα αληθοφανές email ηλεκτρονικού “ψαρέματος” (phishing) με ένα κακόβουλο συνημμένο Markdown θα μπορούσε να είναι αρκετό για να ενεργοποιήσει την ευπάθεια.
Ενημερώστε άμεσα
https://www.catalog.update.microsoft.com/Search.aspx?q=KB5077181
Αν και τα δελτία τύπου θα είναι από πολύ επιλεγμένα έως και σπάνια, είπα να περάσω … γιατί καμιά φορά κρύβονται οι συντάκτες.
