Notepad++ starszy niż 8.8.9 nie sprawdzał podpisu pobieranych aktualizacji. Napastnicy przekierowywali ruch aktualizacji wybranych ofiar na własne serwery. CISA potwierdza ataki. Zaktualizuj edytor ręcznie do najnowszej wersji.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają darmowego edytora Notepad++ na komputerach z Windows. Werdykt: jeśli na którymkolwiek komputerze jest Notepad++ starszy niż 8.8.9, zaktualizuj go ręcznie z oficjalnej strony do najnowszej wersji w tym tygodniu, bo mechanizm aktualizacji starszych wersji był wykorzystywany w ukierunkowanych atakach.
Amerykańska agencja CISA 12 lutego 2026 roku dopisała podatność CVE-2025-15556 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy modułu aktualizacji WinGUp w edytorze Notepad++: starsze wersje nie sprawdzały podpisu pobranej informacji o aktualizacji ani samego instalatora.
Według komunikatów autora Notepad++ napastnicy przejęli infrastrukturę ówczesnego dostawcy hostingu strony projektu i od czerwca do 2 grudnia 2025 roku wybiórczo przekierowywali ruch aktualizacji wybranych użytkowników na własne serwery. Ofiary dostawały podmieniony instalator i uruchamiały go jak zwykłą aktualizację. Poprawka pojawiła się w wersji 8.8.9 z 9 grudnia 2025 roku, a termin naprawy wyznaczony przez CISA minął 5 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-15556 |
Data dodania do CISA KEV | 2026-02-12 |
Termin naprawy wg CISA | 2026-03-05 (21 dni od wpisu) |
Produkt | Notepad++ (edytor tekstu dla Windows) z modułem aktualizacji WinGUp |
Wersje zagrożone | Wszystkie wersje Notepad++ starsze niż 8.8.9, gdy aktualizacja odbywa się przez wbudowany moduł WinGUp. Warunek: napastnik musi przechwycić lub przekierować ruch aktualizacji, a użytkownik musi uruchomić aktualizację |
Wersje bezpieczne | 8.8.9 (9 grudnia 2025): weryfikacja podpisu i certyfikatu instalatora. 8.9.2 (16 lutego 2026): dodatkowo wymuszona weryfikacja podpisanej odpowiedzi serwera aktualizacji. Producent zalecał ręczną instalację co najmniej 8.9.1; najnowsza wersja na stronie producenta w dniu pisania to 8.9.8 |
Typ podatności | Pobieranie kodu bez kontroli integralności; CWE-494 |
Ocena CVSS | NVD: 7.5 (CVSS 3.1, WYSOKA): atak przez sieć, wysoka złożoność, bez logowania, wymagany udział użytkownika. VulnCheck (zgłaszający CVE): 7.7 (CVSS 4.0, WYSOKA) |
Wyobraź sobie, że firma zamawia u stałego dostawcy paczkę z materiałami biurowymi. Recepcja przyjmuje ją bez sprawdzania plomby i nadawcy, bo przecież sama ją zamówiła. Ktoś, kto przejął sortownię kuriera, podmienia zawartość wybranych paczek. Odbiorca otwiera ją z pełnym zaufaniem, a w środku jest coś zupełnie innego.
Tak działała ta luka. Notepad++ pytał serwer, czy jest nowsza wersja, dostawał adres pliku, pobierał instalator i uruchamiał go, nie sprawdzając podpisu producenta. W prawdziwej kampanii napastnicy nie siedzieli w kawiarnianej sieci, tylko przejęli serwer hostingu, przez który szły odpowiedzi o aktualizacjach, i podmieniali je tylko wybranym ofiarom. Podobny efekt można jednak uzyskać, kontrolując sieć, z której korzysta laptop, na przykład fałszywy hotspot lub zainfekowany router.
💡 Aktualizator to moduł programu, który sam pobiera i instaluje nowe wersje. Podpis cyfrowy to matematyczna pieczęć producenta, której nie da się podrobić bez jego klucza. Atak pośrednika (man-in-the-middle) to podsłuchanie lub podmiana ruchu między komputerem a serwerem. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Program pobiera informację o nowej wersji | Sprawdza podpis odpowiedzi serwera | Przyjmuje każdą odpowiedź spod właściwego adresu |
Program pobiera instalator | Sprawdza podpis i certyfikat producenta, podróbkę odrzuca | Uruchamia dowolny plik, także podmieniony |
Pracownik klika „aktualizuj” | Dostaje nową wersję edytora | Może uruchomić program napastnika z własnymi uprawnieniami |
Pracownik ma prawa administratora | Wygodne instalowanie drukarek | Program napastnika dostaje władzę nad całym komputerem |
Dział IT sprawdza listę zakupionego oprogramowania | Widzi licencje | Nie widzi darmowego Notepad++, więc go nie aktualizuje |
źródło: Pexels, Jonathan ReynagaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie działa przez samo wysłanie żądania do komputera: napastnik musi znaleźć się na drodze ruchu aktualizacji (przejęty serwer pośredniczący, fałszywa sieć Wi-Fi, zainfekowany router) i poczekać, aż użytkownik uruchomi aktualizację. CISA ocenia, że ataku nie da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zajęcie pozycji | T+0 (dni lub tygodnie przed atakiem) | Przejęcie infrastruktury pośredniczącej lub sieci używanej przez ofiarę | Możliwość podmiany odpowiedzi serwera aktualizacji |
2. Wybór ofiar | T+dni | Filtrowanie ruchu i wybór konkretnych organizacji | Reszta użytkowników dostaje prawdziwe aktualizacje, atak trudno zauważyć |
3. Podmiana | T+chwila uruchomienia aktualizacji | Zwrócenie adresu podrobionego instalatora | Pobranie pliku napastnika |
4. Uruchomienie | T+kilka sekund | Pracownik zatwierdza aktualizację | Kod napastnika działa z uprawnieniami pracownika |
5. Utrwalenie | T+minuty do godzin | Instalacja narzędzia zdalnego dostępu, kradzież haseł | Stały dostęp do komputera i sieci |
6. Skutek | T+dni do tygodni | Szpiegostwo, kradzież dokumentów, dalszy ruch w sieci | Wyciek danych |
Darmowe narzędzia instaluje się doraźnie i zostają na komputerach latami, poza spisem oprogramowania. Ta luka pokazuje, że nawet mechanizm aktualizacji może stać się drogą wejścia, a znana kampania była wybiórcza i wymierzona w wybrane organizacje, więc trudna do zauważenia. Skala ryzyka dla typowej firmy jest mniejsza niż przy lukach wykorzystywanych masowo, ale skutek pojedynczego udanego ataku jest poważny.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty komputer do odtworzenia, możliwe przejęcie kolejnych | Dni | 10 tys. do 150 tys. PLN (analiza, odtwarzanie stanowisk) |
Bezpieczeństwo danych | Kradzież dokumentów, haseł i danych klientów z przejętego komputera | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, możliwe straty przy kradzieży danych handlowych | Tygodnie | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku | Miesiące | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Notepad++ starszym niż 8.8.9
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE / WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo ofiara uruchamia dowolny program napastnika, ale prawdopodobieństwo niskie do średniego, bo atak wymaga przejęcia drogi ruchu i kliknięcia, a znana kampania była wybiórcza; firmy z pracownikami w podróży lub działające w branżach interesujących dla szpiegostwa powinny przesunąć ocenę w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zebrać listę komputerów z zainstalowanym Notepad++ i jego wersją | Do 2 dni | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zainstalować ręcznie najnowszą wersję z oficjalnej strony notepad-plus-plus.org (co najmniej 8.9.2), nie przez stary aktualizator | Do 3 dni | Administrator / partner IT |
3 | 🟠 PILNIE | Na komputerach firmowych instalować Notepad++ z pakietu MSI bez aktualizatora (opcja NOUPDATER=1, zalecenie producenta) i aktualizować go centralnie | Do 7 dni | Administrator systemów |
4 | 🟠 PILNIE | Sprawdzić komputery, na których Notepad++ był aktualizowany od czerwca do grudnia 2025, pod kątem wskaźników włamania opublikowanych przez Rapid7 i Kaspersky, do których odsyła producent | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Odinstalować Notepad++ tam, gdzie nie jest potrzebny | Do 14 dni | Administrator systemów |
6 | 🟡 WAŻNIE | Wprowadzić spis wszystkich programów, także darmowych, generowany automatycznie z komputerów | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zapisać w zasadach pracy zdalnej: ruch przez firmowy VPN, aktualizacje w zaufanej sieci | Do 30 dni | CTO / HR |
Producent wydał poprawki (8.8.9 i wzmocnienie w 8.9.2), więc aktualizacja jest dostępna. Tam, gdzie nie da się jej od razu wykonać, pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie automatycznych aktualizacji w starym Notepad++ i zakaz klikania propozycji aktualizacji | Wysoka: podatny mechanizm nie jest uruchamiany | Łatwa |
Instalacja nowej wersji z pakietu MSI bez aktualizatora (NOUPDATER=1) | Wysoka | Łatwa do średniej |
Ruch z laptopów poza biurem wyłącznie przez firmowy VPN | Średnia: utrudnia podmianę w obcych sieciach, nie chroni przed przejęciem serwera po drodze | Średnia |
Odebranie pracownikom stałych praw administratora | Średnia: ogranicza skutki uruchomienia podrobionego instalatora | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Notepad++ | Starsza niż 8.8.9 na nieznanej liczbie komputerów | Najnowsza wersja lub program odinstalowany |
Aktualizacje edytora | Stary aktualizator bez weryfikacji podpisu | Aktualizacje centralne lub z weryfikacją dwóch podpisów |
Spis oprogramowania | Tylko programy z faktur | Pełna lista programów z komputerów |
Wiedza o incydencie | Brak sprawdzenia | Komputery sprawdzone pod kątem znanych wskaźników włamania |
Zgodność z terminem CISA | Zaległość od 5 marca 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Autor Notepad++ opisał przejęcie ruchu aktualizacji od czerwca do 2 grudnia 2025 |
Grupy przestępcze | Nazwa grupy nie została podana przez producenta; według autora Notepad++ niezależni badacze oceniają, że to prawdopodobnie grupa sponsorowana przez państwo chińskie |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, NVD); 7.7 WYSOKA (CVSS 4.0, VulnCheck) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych danych; producent pisze o bardzo wybiórczym ataku na wybrane organizacje i o tym, że ogromna większość użytkowników nie była celem |
Wskaźniki włamania | Producent odsyła do materiałów Rapid7, Kaspersky i byłego dostawcy hostingu; ich treści nie weryfikowaliśmy |
Prognoza EPSS | Około 1% szansy próby wykorzystania w ciągu 30 dni, środek stawki wszystkich podatności (wg analizy źródłowej) |
Niska prognoza EPSS i wpis w KEV nie są sprzeczne: atak jest trudny do powtórzenia masowo, ale został przeprowadzony w praktyce.
Sygnały zagrożenia dla CVE-2025-15556
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
CVSS 4.0 (VulnCheck) 7.7/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~1% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06 Początek przejęcia ruchu aktualizacji (wg autora Notepad++)
2025-09-02 Hosting traci dostęp napastników do serwera (wg dostawcy)
2025-12-02 Koniec przekierowań, zmiana danych dostępowych u dostawcy
2025-12-09 Notepad++ 8.8.9 z weryfikacją podpisu instalatora
2025-12-09 Ostrzeżenie niemieckiego BSI (wg analizy źródłowej)
2026-02-02 Autor Notepad++ publikuje wyniki śledztwa
2026-02-03 Publikacja CVE-2025-15556 w NVD
2026-02-12 CISA dodaje lukę do katalogu KEV
2026-02-16 Notepad++ 8.9.2 z podwójną weryfikacją podpisów
2026-03-05 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Wyjaśnienie producenta z zaleceniami dla firm: notepad-plus-plus.org/news/clarification-security-incident . Ogłoszenie poprawki 8.8.9: community.notepad-plus-plus.org/topic/27298 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-15556 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić wygenerowanie listy komputerów z Notepad++ i jego wersją | CTO | DZISIAJ |
2 | Zatwierdzić ręczną aktualizację do najnowszej wersji z oficjalnej strony | CTO | DZISIAJ |
3 | Polecić pracownikom, aby do czasu aktualizacji nie akceptowali propozycji aktualizacji w starym Notepad++ | CTO | DZISIAJ |
4 | Zlecić sprawdzenie komputerów aktualizowanych w drugiej połowie 2025 roku | CTO | DO JUTRA |
5 | Ustalić, czy firma prowadzi spis darmowego oprogramowania, i zlecić jego przygotowanie | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę, jeśli sprawdzenie wykaże ślady włamania | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące inwentaryzacji oprogramowania | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu komputerach jest zainstalowany Notepad++? | [liczba] | 🔴 |
2 | Jaka jest najstarsza wersja Notepad++ w firmie? | [wersja] | 🔴 |
3 | Czy Notepad++ był aktualizowany przez wbudowany aktualizator między czerwcem a grudniem 2025? | TAK / NIE / nie wiadomo | 🔴 |
4 | Czy sprawdzono komputery pod kątem wskaźników włamania wskazanych przez producenta? | TAK / NIE, [data] | 🟠 |
5 | Czy mamy automatyczny spis wszystkich programów, także darmowych? | TAK / NIE | 🟠 |
6 | Czy laptopy poza biurem łączą się z internetem przez firmowy VPN? | TAK / NIE | 🟠 |
7 | Ilu pracowników ma prawa administratora na swoim komputerze? | [liczba] | 🟡 |
CVE-2025-15556 dotyczy aktualizatora Notepad++ starszego niż 8.8.9, który nie sprawdzał podpisu pobieranych plików; napastnicy wykorzystali to w wybiórczej kampanii w 2025 roku. CISA potwierdza wykorzystanie, a poprawka jest dostępna od grudnia 2025 roku, więc spis komputerów z tym edytorem i ręczna aktualizacja do najnowszej wersji to zadanie na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.