patchpoint/cve-2026-20841Analisi tecnica e proof-of-concept per una vulnerabilità di command injection nel rendering Markdown del Blocco note di Windows, attivata tramite Control+Click su link appositamente predisposti, con discussione degli scenari di sfruttamento e delle mitigazioni.
*Questo contenuto corrisponde a una parte di ciò che viene fornito tramite il Rapporto Mensile per gli abbonati a PatchPoint.
Microsoft ha divulgato una patch per una vulnerabilità RCE in Blocco note a febbraio 2026. La vulnerabilità è una vulnerabilità di Command Injection che si verifica in Blocco note, attivata quando si fa clic su un collegamento insieme al tasto Control nel rendering Markdown di Blocco note di Windows. La vulnerabilità può essere spiegata semplicemente. Quando si accede a un collegamento tramite Control+Click in Markdown, non c'è alcun filtro sullo schema URI, quindi l'applicazione handler per quel protocollo viene eseguita e non appare alcuna finestra di avviso per questo. L'ambito interessato dalla vulnerabilità è il seguente.
La versione già patchata e quella non patchata possono essere verificate come segue.
Le FAQ di MSRC spiegano quanto segue.
D. Come potrebbe un attaccante sfruttare questa vulnerabilità?
R. Un attaccante potrebbe indurre un utente a fare clic su un collegamento dannoso all'interno di un file Markdown aperto in Blocco note, causando l'avvio da parte dell'applicazione di protocolli non verificati che caricano ed eseguono file remoti.
D. Secondo la metrica CVSS, il vettore di attacco è di rete (AV:N) ed è richiesta l'interazione dell'utente (UI:R). Qual è il contesto target dell'esecuzione remota di codice?
R. Il codice dannoso verrebbe eseguito nel contesto di sicurezza dell'utente che ha aperto il file Markdown, dando all'attaccante gli stessi permessi di quell'utente.
Il contenuto sopra riportato ha scenari possibili e scenari impossibili. Per arrivare subito alla conclusione, non è facile in una "situazione normale".
Per arrivare subito alla conclusione, è necessaria una vulnerabilità aggiuntiva affinché l'attacco abbia successo, rendendolo un vettore di attacco inefficiente. Questo perché trovare un ambiente che richieda l'interazione dell'utente, inclusa una versione limitata + Download -> Esecuzione -> Visualizzazione Markdown -> Control+Click, e poi concatenare un'altra vulnerabilità per attaccare, è molto inefficiente.
Di seguito è riportata una spiegazione dettagliata di ciò che è stato detto riguardo alla difficoltà in una situazione normale. Generalmente, quando parliamo di RCE, possono esserci problemi in cui il codice viene eseguito da remoto quando una vittima scarica un file e lo esegue. Generalmente, ciò che diventa un problema a questo punto è MoTW (Mark of the Web).
Quando si scarica da Internet, se si controlla utilizzando il comando dir /r come segue, l'impostazione MoTW (ZoneID=3) viene registrata tramite ADS.
Se MoTW è impostato in questo modo, apparirà una finestra per l'interazione dell'utente corrispondente a una sorta di messaggio di avviso di sicurezza come segue.
Se si fa clic sulla finestra di avviso, viene eseguito come segue.
Quindi, per questo, deve essere considerato un metodo per bypassare MoTW. Poiché questa vulnerabilità non è un LPE, viene creata con gli stessi privilegi e, se così fosse, un payload di attacco creato in un ambiente locale sarebbe privo di significato.
Per bypassare MoTW, esistono diversi metodi. I metodi comunemente usati sono WebDAV e il metodo che utilizza SMB tramite UNC Path.
Un metodo possibile ma difficile è l'uso di uno schema nativo come la vulnerabilità Follina. Il metodo ms-* più basilare è un buon metodo. (Tuttavia, credo che le vulnerabilità ms-* possano certamente funzionare in un modo più utile.) Poiché anche Teams è installato per impostazione predefinita al giorno d'oggi, funziona anche lo schema msteams:, e funziona anche lo schema odopen per OneDrive.
Come mostrato sopra, se si esegue ms-mmsys, opera secondo il metodo registrato nel registro di sistema senza alcuna finestra di autenticazione separata.
Tieni presente che questo significa che è possibile, ma poiché in realtà rientra nel territorio di una nuova vulnerabilità, viene presentata solo la metodologia.
Se l'utente lo configura, può esserci un altro scenario. È un metodo tramite HTML con ActiveX/VBScript. Puoi usare lo schema "IE.HTTP:", ma il problema è che IE non è impostato come predefinito, il che è un grosso problema. 😂 Deve essere configurata un'impostazione separata per reindirizzare a IE, e ActiveX deve anche essere impostato per funzionare in IE. 😁
Questo perché ActiveX non funziona in Edge come mostrato sopra. In conclusione, è molto limitato.
Allo stesso modo, al giorno d'oggi quando installi app, diventano disponibili vari schemi. Ad esempio, per gli utenti WinSCP verrebbe applicato lo schema sftp:, e per le persone che hanno installato Adobe Acrobat sarebbe accessibile lo schema acrobat:. Se un comando utile può essere eseguito da tale schema, potrebbe essere un problema.
In sintesi, questa vulnerabilità può essere un vettore per l'esecuzione remota di codice. Ogni volta che esce una nuova funzionalità, qualsiasi prodotto è stato un bersaglio per attacchi e verifiche, e questo bug uscito questa volta corrisponde a una di quelle vulnerabilità. 😀