Notepad++: a correção precisa alcançar o editor, o plugin e o privilégio
Uma versão corrigida no inventário pode coexistir com outro editor ainda aberto e elevado. A aceitação precisa identificar o executável em uso, os plugins carregados e o limite de autoridade observado.
Read in EnglishPor Pentesty
A data da release não uniformiza os impactos
O Notepad++ 8.9.9, lançado em 6 de novembro de 2026, relaciona seis avisos de segurança. Eles têm datas e condições diferentes; um dos avisos vinculados foi publicado originalmente em outubro. A referência editorial de 9 de novembro não representa uma nova divulgação do fornecedor. Os registros consultados não tinham identificadores CVE atribuídos, portanto não os complete por inferência.
O aviso sobre NppExec descreve execução local com privilégio alto em 8.9.8 sob condições específicas: alvo já elevado, plugin opcional instalado e inicializado, código local na mesma sessão e outra instância legítima no mesmo caminho. Isso não equivale a RCE pela rede nem a execução incondicional na instalação padrão. A configuração real da estação importa para interpretar a exposição.
Identifique o editor que efetivamente continua em uso
Comece pelas tarefas que dependem do editor, incluindo scripts administrativos, arquivos de configuração e suporte remoto autorizado. Registre o responsável, o caminho do executável e a versão observada no processo usado para essas tarefas. Uma entrada do gerenciador de software não resolve sozinha a existência de uma cópia portátil ou de uma sessão mantida aberta por outro usuário.
Relacione também os plugins carregados e o nível de privilégio da sessão. Trate esses dados como configuração a verificar, sem concluir que um plugin presente foi explorado. Defina quais atividades realmente exigem elevação e quem pode autorizá-las. Compare o uso cotidiano com essa decisão; manter o editor elevado por conveniência pode disponibilizar autoridade além da necessária para a tarefa.
Aceite a combinação de aplicativo e plugin
O aviso do MIME Tools afeta o recurso SAML Decode nas versões até 3.1 e informa correção em 3.2. O cenário envolve conteúdo preparado e uma ação de decodificação do usuário; o impacto potencial não torna qualquer arquivo aberto uma exploração automática. Na mudança, confira a versão do componente que presta a função, além da versão do editor.
Após a distribuição, encerre as instâncias abrangidas conforme o procedimento aprovado e abra novamente o caminho que a equipe utiliza. Registre a versão e os plugins dessa nova sessão. Compare-os com a configuração aceita, incluindo contas de suporte e instalações portáteis inventariadas. Esse passo comprova o estado observado; não demonstra que nenhum uso indevido tenha ocorrido antes da atualização.
Observe a passagem de uma gravação para o contexto elevado
O aviso sobre a gravação UAC descreve substituição de conteúdo temporário por código local do mesmo usuário antes da cópia elevada. O usuário ainda precisa aprovar o pedido legítimo. O resultado demonstrado foi alteração dos bytes no destino escolhido, não execução de código ou escolha arbitrária de outro destino. Preserve essa diferença ao comunicar o risco.
Para avaliar o procedimento sem reproduzir a exploração, use um arquivo marcador em pasta de laboratório, com permissões previamente acordadas. Registre o conteúdo pretendido, a aprovação e o resultado final do salvamento legítimo. Confira se o trabalho comum funciona sem elevação e se a exceção aprovada fica identificável. Não utilize arquivos do sistema, dados reais ou programas de ataque.
Separe atualização, investigação e recuperação
O aceite da correção deve conter um caso válido e um caso que a política precisa recusar. Por exemplo, compare a execução pelo caminho atualizado aprovado com uma cópia antiga fictícia no inventário de laboratório. Verifique se o controle usado pela empresa identifica a divergência e produz a decisão esperada. Declare o resultado antes do exercício e registre qualquer limitação de cobertura.
Se houver indícios de comprometimento, abra um fluxo de resposta separado. A troca do executável não determina quais arquivos foram alterados nem quais acessos estiveram disponíveis. Nossa análise sobre recuperação da proteção da estação complementa essa revisão. Relacione a evidência ao caso investigado, evitando transformar a existência de uma vulnerabilidade em confirmação de invasão.
Entregue evidências que possam ser repetidas
Reúna caminho, versão, estado dos plugins, privilégio do processo, horário da verificação e resultado dos casos acordados. Identifique separadamente o que foi observado e o que ficou sem acesso ou sem teste. O responsável pela estação deve conseguir repetir a checagem após uma mudança de imagem, de pacote ou de procedimento administrativo, preservando a operação legítima necessária. Registre um responsável e uma decisão para cada exceção pendente, sem tratar silenciosamente toda a frota como verificada.
A análise de projetos que podem executar ao abrir ou compilar ajuda a delimitar ações de desenvolvimento. Já a validação de atualizações do Paint mostra por que a distribuição exige evidência por aplicação. Para o Notepad++, o encerramento deve ligar a correção à sessão realmente utilizada, sem prometer segurança de todo o ambiente a partir de um único número de versão.
Perguntas frequentes
As seis correções representam seis falhas de RCE remota?
Não. Os avisos têm condições e impactos diferentes. A execução via NppExec descrita depende de acesso local, estado do plugin e um alvo já elevado.
A falha na gravação elimina o pedido de aprovação UAC?
Não. O cenário descrito exige a aprovação legítima do usuário. A constatação foi substituição de conteúdo durante a passagem para a cópia elevada.
Ver a versão 8.9.9 no inventário encerra a validação?
Confira também o executável da sessão em uso, os plugins e as cópias abrangidas. Registre o que foi verificado e as exceções ainda abertas.
É necessário executar uma prova de exploração para aceitar a atualização?
Não. Este exercício propõe arquivos fictícios, verificação de configuração e casos de política autorizados. Uma investigação de incidente tem escopo e evidências próprios.
Fontes e referências
- Notepad++: release 8.9.9 de 6 de novembro de 2026
- Notepad++: condições da execução local via NppExec
- Notepad++: limite da gravação com aprovação UAC
- MIME Tools: correção do SAML Decode
Análise original da Pentesty, publicada em 10 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.