El popular editor de texto Notepad++ ha solucionado una grave vulnerabilidad de seguridad en su mecanismo de actualización que podría permitir a los atacantes secuestrar el tráfico de red y enviar ejecutables maliciosos a los usuarios haciéndoles creer que son actualizaciones legítimas. Investigadores de seguridad observaron recientemente patrones de tráfico sospechosos que involucraban a WinGUp, el actualizador integrado utilizado por Notepad++. Según sus hallazgos, las solicitudes de actualización, en algunos casos, estaban siendo redirigidas a servidores maliciosos. En lugar de recuperar instaladores genuinos de Notepad++, el actualizador descargaba binarios comprometidos, creando un canal silencioso de entrega de malware.

Una revisión interna de los informes condujo al descubrimiento de un fallo en la forma en que WinGUp validaba la integridad y autenticidad de los archivos de actualización descargados. Bajo ciertas condiciones, si un atacante pudiera interceptar o manipular el tráfico de red entre el cliente actualizador de Notepad++ y la infraestructura de actualización oficial, esta vulnerabilidad podría ser explotada para sustituir el instalador legítimo por un binario malicioso.

En tal escenario, el actualizador podría ser engañado para descargar y ejecutar malware, todo mientras aparenta realizar una actualización de software rutinaria. Este tipo de ataque se alinea con técnicas clásicas de ataque de intermediario o secuestro de tráfico que a menudo se ven en compromisos de la cadena de suministro y canales de actualización.

Para mitigar el problema y abordar las preocupaciones planteadas por los investigadores, la última versión de Notepad++ introduce una verificación más estricta durante el proceso de actualización. Tanto Notepad++ como WinGUp ahora se han reforzado para verificar la firma digital y el certificado de los instaladores descargados antes de continuar.

Si la verificación de la firma o el certificado falla, el proceso de actualización se aborta inmediatamente, evitando la ejecución de código no confiable. Los desarrolladores de Notepad++ han declarado que la investigación sobre el método exacto de secuestro aún está en curso, y los usuarios serán informados una vez que se establezca evidencia concreta sobre el vector de ataque.

Por separado, a partir de la versión 8.8.7, todos los binarios de Notepad++, incluido el instalador, están firmados digitalmente utilizando un certificado legítimo emitido por GlobalSign. Este cambio elimina la necesidad de que los usuarios instalen un certificado raíz personalizado de Notepad++. El proyecto ahora recomienda que se elimiten cualquier certificado raíz de Notepad++ instalado previamente para reducir los puntos de confianza innecesarios.

La nueva versión 8.8.9 incluye estas mejoras de seguridad junto con varias correcciones de errores y mejoras adicionales. Se aconseja encarecidamente a los usuarios que actualicen a la última versión y obtengan los instaladores solo del sitio web oficial de Notepad++, donde están disponibles el registro de cambios completo y los enlaces de descarga para la versión 8.8.9.