El popular editor de texto y código de código abierto ha lanzado la versión v8.9.2, presentando una importante mejora de seguridad conocida como el mecanismo de actualización “Double-Lock”. Esta actualización aborda vulnerabilidades que fueron explotadas en un reciente ataque patrocinado por un estado, dirigido a la infraestructura de actualizaciones de la aplicación. 

El popular editor de texto y código de código abierto ha lanzado la versión v8.9.2, introduciendo una importante mejora de seguridad conocida como el mecanismo de actualización “Doble-Candado”.

Esta actualización aborda vulnerabilidades que fueron explotadas en un reciente ataque patrocinado por un estado, dirigido a la infraestructura de actualizaciones de la aplicación.

El mes pasado, el sitio oficial de Notepad++ confirmó que los atacantes habían secuestrado con éxito su canal de actualizaciones, permitiendo la distribución de una actualización maliciosa.

Tras el incidente, el equipo de desarrollo prometió reforzar el proceso de verificación de actualizaciones. Esa promesa se ha cumplido ahora con el lanzamiento de la versión v8.9.2.

Reforzando el proceso de actualización

La última versión introduce la verificación XMLDSig (Firma Digital XML) para los archivos de actualización.

El XML devuelto por el servidor de actualizaciones de Notepad++ ahora está firmado criptográficamente, y tanto la firma como el certificado se verificarán antes de aplicar cualquier actualización.

Esto significa que, a partir de la v8.9.2, todas las actualizaciones futuras solo se aceptarán si se verifican con los certificados de confianza de Notepad++.

Además de esta medida, Notepad++ ahora realiza dos verificaciones independientes que forman lo que los desarrolladores describen como un sistema de actualización “Doble-Candado”:

Juntas, estas medidas crean un modelo de seguridad resistente que evita la intercepción o manipulación maliciosa de los archivos de actualización.

El equipo de desarrollo señala que este diseño hace que el proceso de actualización sea “robusto e inexpugnable”.

Mejoras en el actualizador automático WinGUp

El actualizador automático WinGUp, que gestiona las descargas e instalaciones de actualizaciones, también ha sido sometido a una importante revisión de seguridad.

Las mejoras clave incluyen:

Además, los usuarios que prefieran controlar manualmente las actualizaciones pueden desactivar el actualizador automático durante la instalación o usar el parámetro MSI:

msiexec /i npp.8.9.2.Installer.x64.msi NOUPDATER=1