CVE-2026-52885
Notepad++ TOCTOU: HMAC prüft Datenträger, führt aus dem Speicher aus
- Veröffentlicht
- 26.06.2026
- Aktualisiert
- 29.06.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 17.08.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 2,0 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Notepad++ ist ein freier und quelloffener Quellcode-Editor. Vor Version 8.9.6.4 prüft NppCommands.cpp den HMAC der auf der Festplatte gespeicherten shortcuts.xml in dem Moment, in dem ein Benutzerbefehl ausgelöst wird (Time-of-Check). Das Befehls-Payload wird jedoch aus dem In-Memory-Vektor `_userCommands` übernommen, der beim Anwendungsstart befüllt und nie wieder mit der Datei auf der Festplatte synchronisiert wird (Time-of-Use). Das Austauschen von shortcuts.xml zwischen dem Start und der Befehlsausführung führt dazu, dass die HMAC-Prüfung eine saubere Datei validiert, während ein bösartiger Befehl ausgeführt wird. Ein Angreifer mit Schreibzugriff auf shortcuts.xml platziert vor dem Start eine bösartige Version auf der Festplatte und stellt die legitime Datei anschließend sofort wieder her. Die HMAC-Prüfung zum Zeitpunkt der Ausführung validiert die wiederhergestellte legitime Datei (Prüfung besteht), während das bösartige Payload aus dem Speicher ausgeführt wird. Diese Schwachstelle ist in Version 8.9.6.4 behoben.
Quellen
Technische Analyse von CVE-2026-52885: eine TOCTOU-Race-Condition in Notepad++ v8.9.6.2, die eine beliebige Befehlsausführung durch Umgehung der HMAC-Integrität ermöglicht. Enthält Grundursache, Angriffsszenario, PoC und Patch-Analyse.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.