רוב החולשות יושבות בקוד שמעבד קובץ או בקשה. זו יושבת דווקא במנגנון שאמור לשמור על התוכנה מעודכנת. ב-Notepad++ בגרסאות שלפני 8.8.9, רכיב העדכון WinGUp הוריד את פרטי העדכון ואת קובץ ההתקנה בלי לאמת אותם קריפטוגרפית. הציון 7.7, והחולשה מסומנת כמנוצלת בפועל.

מה החולשה?

תוכנה שמעדכנת את עצמה עושה תמיד את אותם שלושה צעדים: שואלת שרת אם יש גרסה חדשה, מורידה את מה שהשרת מחזיר, ומריצה את קובץ ההתקנה. הצעד השלישי הוא הרצת קוד, ולכן מה שמגן על התהליך הזה הוא חתימה. היצרן חותם, המעדכן בודק את החתימה, וכל דבר שאינו תואם נדחה.

הבדיקה הזאת לא התבצעה. מי שיכול ליירט את תעבורת העדכון או להסיט אותה יכול להגיש למעדכן קובץ התקנה משלו, והמעדכן יריץ אותו בהרשאות של המשתמש. בסיווג הרשמי זה נקרא הורדת קוד בלי אימות שלמות.

מה נדרש מהתוקף בפועל? עמדה על נתיב התעבורה. רשת אלחוטית ציבורית, נתב שנפרץ, או שליטה כלשהי בפתרון השמות ברשת. הרשומה מסמנת את מורכבות התקיפה כגבוהה ואת מעורבות המשתמש כפסיבית, וזה מסביר למה הציון הוא 7.7 ולא גבוה יותר. הנזק, לעומת זאת, מסומן כגבוה בשלושת המדדים, והוא נעצר במחשב שמריץ את העורך.

בין המקורות ברשומה מופיעות שתי הודעות של הפרויקט עצמו שעוסקות באירוע אבטחה, לא רק בתיאור טכני של הבאג.

מי מושפע?

כל גרסה של Notepad++ שקדמה ל-8.8.9.

בישראל זה אחד מעורכי הטקסט הנפוצים ביותר על מחשבי ווינדוס, אצל אנשי IT, אצל מפתחים וגם בשימוש משרדי רגיל. הרבה מההתקנות האלה ישנות, מהסיבה הפשוטה שהתוכנה עובדת ואיש אינו חושב עליה.

וכאן נסגר מעגל לא נוח. הרכיב שאמור היה להביא את התיקון הוא בדיוק הרכיב השבור, ולכן לא נכון להסתמך עליו כדי לצאת מהמצב הזה.

האם מנוצלת בפועל?

כן. ב-12 בפברואר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח ולא רק הערכת חומרה, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-5 במרץ 2026.

הרשומה ב-NVD פורסמה ב-3 בפברואר 2026, תשעה ימים קודם. מנגנון עדכון הוא יעד מבוקש מסיבה מבנית: הוא נבנה כדי להוריד קוד ולהריץ אותו, ובהסכמה מלאה של המשתמש.

מה עושים?

בדקו קודם באיזו גרסה אתם. בתפריט העזרה של התוכנה, האפשרות אודות מציגה את מספר הגרסה. אם הוא נמוך מ-8.8.9, אתם בטווח.

הורידו את גרסת 8.8.9 או מאוחרת ממנה מהאתר הרשמי של הפרויקט והתקינו אותה ידנית, במקום ללחוץ על העדכון מתוך התוכנה. בגרסאות שלפני התיקון המעדכן הוא הרכיב שאינו מאמת את מה שהוא מוריד, ולכן הורדה ישירה היא הדרך ההגיונית לצאת מהמצב.

בארגון זו שאלה של מלאי תוכנה ולא של מחשב בודד. אתרו את התחנות שמריצות גרסה ישנה והפיצו את העדכון דרך הכלי שבו אתם מנהלים תוכנות, במקום לסמוך על כך שכל משתמש יעדכן בעצמו.

הפרטים שפרסם הפרויקט נמצאים בהודעה על האירוע ובהבהרה שפורסמה אחריה.