事件背景与影响
近日，广受欢迎的代码编辑器 Notepad++ 正式发布了 v8.9.7 版本（代号“Slava Ukraini”）。此次更新意义重大，旨在修复五项潜在的安全漏洞，涵盖了会话文件处理、环境变量扩展、ZIP 压缩包解压、宏校验以及安装流程等多个高风险环节。
从我们的应急响应经验来看，办公类编辑器往往被视为“低危”资产，容易被企业安全运维团队忽略。然而，攻击者常利用此类工具处理恶意构造的配置文件或压缩包，从而在受害者主机上实现权限提升或持久化控制。
核心漏洞技术拆解
此次修复的漏洞中，有几项技术细节值得重点关注：
首先是 CVE-2026-54758（栈缓冲区溢出），该漏洞存在于 expandNppEnvironmentStrs 函数中。当程序处理超长的环境变量字符串时，若输入数据超出了预分配的栈内存空间，将导致内存损坏，严重时可被攻击者利用执行任意代码。
其次是 CVE-2026-57233（Zip Slip 路径遍历漏洞），这一环节是很多企业容易忽视的攻击面。通过在压缩包文件名中嵌入“../”等遍历序列，攻击者可以突破解压目录的限制，将恶意文件写入系统的关键路径或启动项目录。
此外，CVE-2026-52886 涉及 session.xml 中 backupFilePath 的校验绕过。攻击者通过构造特殊的路径字符串，能够绕过程序对路径前缀的合规性检查。同时，未获得 CVE 编号的宏 HMAC 校验绕过漏洞，也让攻击者有机会篡改宏定义，从而实现自动化恶意操作。
安装过程的隐蔽威胁
此次更新还修复了一个安装时期的 PowerShell 命令注入漏洞。在软件安装过程中，如果程序未能对输入参数进行严格的转义或验证，攻击者便可能在安装程序运行时注入恶意 PowerShell 命令。
类似攻击近年来明显增加，攻击者往往通过投递伪造的安装包或修改安装配置文件，在用户执行安装操作的瞬间获取用户权限。对于企业用户而言，确保软件来源的唯一性与安装过程的完整性至关重要。
Solar 安全建议与经验总结
针对此次 Notepad++ 的更新，Solar 应急响应团队建议如下：
第一，立即更新。请尽快将组织内部的 Notepad++ 升级至 v8.9.7 版本。对于企业环境，建议通过统一的资产管理平台进行批量推送更新。
第二，强化边界管控。在处理来源不明的配置文件（如 shortcuts.xml 或 session.xml）以及压缩包时，应保持高度警惕。不要随意导入他人分享的编辑器配置，以防其中嵌入了恶意的宏定义或被污染的路径设置。
第三，规范软件供应链。始终从官方渠道下载安装包，并校验文件的哈希值。在部署环境配置时，应遵循最小权限原则，防止编辑器在运行过程中获得不必要的系统敏感目录访问权限。
我们始终强调，安全是一个动态的过程，任何看似简单的工具更新都可能关乎终端安全防线的稳固。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com