CVE-2026-52885

ВысокийОпубликовано

Notepad++ TOCTOU: проверяет HMAC на диске, выполняет из памяти

Опубликовано: 26 июн. 2026 г.
Обновлено: 29 июн. 2026 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 17 авг. 2026 г.

Первичный CVSS

7,5/ 10Высокий

nvd · CVSS 4.0

CVSS:4.0/AV:L/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Оценка вероятности EPSS

0,1 %

Низкий · следующие 30 дней

Процентиль: 2,6 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Notepad++ — это бесплатный и открытый редактор исходного кода. До версии 8.9.6.4 в файле NppCommands.cpp проверка HMAC файла shortcuts.xml на диске выполнялась в момент срабатывания пользовательской команды (Time-of-Check). Однако полезная нагрузка команды берётся из вектора _userCommands в памяти, который заполняется при запуске приложения и никогда не синхронизируется повторно с файлом на диске (Time-of-Use). Подмена shortcuts.xml между запуском и выполнением команды приводит к тому, что проверка HMAC подтверждает «чистый» файл, в то время как выполняется вредоносная команда. Злоумышленник с правом записи в shortcuts.xml размещает вредоносную версию на диске перед запуском, а затем немедленно восстанавливает легитимный файл. Проверка HMAC во время выполнения подтверждает восстановленный легитимный файл (проверка проходит), а вредоносная полезная нагрузка выполняется из памяти. Эта уязвимость устранена в версии 8.9.6.4.

Источники

CVE-2026-52885PoC
Технический анализ CVE-2026-52885: состояние гонки TOCTOU в Notepad++ v8.9.6.2, позволяющее произвольное выполнение команд через обход целостности HMAC. Включает основную причину, сценарий атаки, PoC и анализ исправления.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.