El 6 de noviembre de 2026, se lanzó la versión 8.9.9 de Notepad++, la cual corrige seis fallos de seguridad relacionados con el manejo de mensajes de Windows, el guardado de archivos protegidos, operaciones del portapapeles y la decodificación de MIME Tools. Estas vulnerabilidades incluyen la ejecución condicional de comandos de plugins, exposición de memoria y desbordamiento de búfer, aunque no se han asignado identificadores CVE específicos para estos problemas.

Notepad++ lanzó la versión 8.9.9 el 6 de noviembre de 2026, corrigiendo seis fallos de seguridad en el manejo de mensajes de Windows, el guardado de archivos protegidos, las operaciones del portapapeles y la decodificación de MIME Tools.

La actualización soluciona fallos que incluyen la ejecución condicional de comandos de plugins, exposición de memoria y desbordamiento de búfer. Las notas de la versión no indican identificadores CVE asignados para estos problemas.

El problema de ejecución de comandos involucra WM_COPYDATA, un mensaje de Windows utilizado para intercambiar datos entre aplicaciones. En Notepad++ 8.9.8, el remitente comprueba si el manejador de ventana proporcionado por el llamador es confiable, en lugar de demostrar qué proceso envió el mensaje. Un atacante local podría nombrar una ventana de Notepad++ legítima y separada para superar esas comprobaciones.

Esto podría permitir que un atacante envíe comandos de plugins a un editor con privilegios elevados. Sin embargo, el ataque demostrado requería que el plugin opcional NppExec estuviera instalado e inicializado, un objetivo ya elevado y una segunda instancia de Notepad++ ejecutándose desde la misma ruta del ejecutable. Se trata de una escalada de privilegios locales bajo condiciones específicas, no de una ejecución de código remoto basada en red.

La versión enumera por separado un bypass de autenticación del remitente de WM_COPYDATA y el fallo de ejecución de comandos de plugins. Ambos resaltan el peligro de confiar en los datos de mensajes controlados por el llamador a través de diferentes niveles de privilegio.

La actualización sigue a correcciones anteriores de ejecución de código de Notepad++ que involucraban archivos de configuración, aunque aquellas vulnerabilidades previas tenían causas diferentes.

Otro fallo afecta a los guardados que requieren la aprobación del Control de Cuentas de Usuario (UAC). Notepad++ escribía los contenidos del documento en un archivo temporal, lo cerraba y pasaba su ruta a un asistente elevado.

Un proceso malicioso que se ejecutara como el mismo usuario podría reemplazar esos contenidos antes de que el asistente los copiara en el archivo protegido seleccionado por ti. La aprobación del usuario seguía siendo necesaria.

Fallos de Memoria y Riesgos de Plugins

El aviso de divulgación de heap describe una longitud de portapapeles no comprobada en "Paste Binary". Un proceso local podría proporcionar un búfer de texto pequeño junto con un tamaño declarado mayor, provocando que Notepad++ copie la memoria de procesos adyacentes en un documento. Las pruebas recuperaron datos del heap más allá del búfer suministrado.

El fallo NPPM_MENUCOMMAND utilizaba índices no comprobados al seleccionar comandos almacenados. Las pruebas mostraron que datos fuera de los límites llegaban a ShellExecute y bloqueaban la interfaz, pero no se demostró el control del atacante sobre el comando resultante.

Por separado, las versiones de MIME Tools hasta la 3.1 contienen desbordamientos de búfer en SAML Decode. Una entrada manipulada podría bloquear el editor o potencialmente ejecutar código al ser decodificada. MIME Tools 3.2 soluciona este problema.

El abuso anterior de plugins de Notepad++ implicaba el reemplazo de archivos de plugins, una ruta de ataque diferente a estos fallos recién parcheados. Debes instalar la versión 8.9.9 a través de la página de descarga oficial y verificar que MIME Tools esté actualizado.

El lanzamiento también mejora el rendimiento de "Buscar en archivos", actualiza Scintilla y Lexilla, añade controles de fuente de diálogo y corrige errores en el historial del portapapeles y fugas de memoria.

Fuentes:
https://cybersecuritynews.com/notepad-8-9-9-released/