Nieuws
image

Onderzoeker waarschuwt voor mogelijke aanvallen via Notepad++

woensdag 3 december 2025, 10:11 door Redactie, 7 reacties

De Britse beveiligingsonderzoeker Kevin Beaumont waarschuwt voor aanvallen op organisaties die mogelijk hebben plaatsgevonden via de populaire editor Notepad++. Beaumont meldt via zijn eigen blog dat hij bekend is met drie organisaties die met beveiligingsincidenten te maken kregen op systemen waarop Notepad++ draaide, en waar het erop lijkt dat aanvallers via Notepad++-processen initiële toegang wisten te krijgen.

"Het is onduidelijk wat er precies gebeurt, en dit blog is niet bedoeld om de (zeer goede) ontwikkelaar van Notepad++ te beschuldigen. Het is alleen om bewustzijn te kweken", aldus de onderzoeker. Hij erkent dat hij met onvolledige informatie werkt, aangezien de 'full picture' nog niet beschikbaar is. Vorige maand verscheen er een update voor Notepad++, onder andere voor het beter beveiligen van het onderdeel dat de updates voor de editor installeert. Deze verbetering moet voorkomen dat een aanvaller de url voor het downloaden van updates weet te kapen.

Notepad++ maakt gebruik van een software-updater genaamd GUP of WinGUP. De updater stuurt informatie over de door de gebruiker gebruikte versie naar een url van Notepad++. Deze url stuurt een xml-bestand terug met daarin een url voor het downloaden van de update. Het verkeer zou over HTTPS moeten gaan, maar volgens Beaumont lijkt het erop dat het mogelijk is om op ISP-niveau het verkeer te manipuleren en TLS te onderscheppen. Daarnaast ging het verkeer bij oudere versies van Notepad++ over HTTP.

De downloads van Notepad++ zijn gesigneerd, maar oudere versies gebruikten een zelf gesigneerd root-certificaat dat op GitHub is te vinden, laat de onderzoeker verder weten. Met versie 8.8.7 wordt er een certificaat van GlobalSign gebruikt. Beaumont merkt op dat er een situatie was waar updates niet goed werden gecontroleerd. De getroffen organisaties zouden twee maanden geleden zijn aangevallen. Afsluitend geeft Beaumont verschillende aanwijzingen waarmee verdachte situaties met betrekking tot Notepad++ zijn te herkennen en adviseert hij organisaties om ervoor te zorgen dat hun gebruikers op versie 8.8.8 zitten.

Reacties (7)
Reageer met quote
03-12-2025, 11:22 door Anoniem
The vulnerability (CVE-2025-49144) could potentially allow an attacker to execute a malicious file with SYSTEM-level privileges. However, exploitation requires that the attacker must either have local access to the system or successfully trick a user, through methods such as social engineering or clickjacking, into downloading both the official Notepad++ installer and a specially crafted malicious executable into the same folder, typically the user’s Downloads directory.

https://cybersecuritynews.com/notepad-vulnerability/
Reageer met quote
03-12-2025, 15:41 door Anoniem
Door Anoniem: The vulnerability (CVE-2025-49144) could potentially allow an attacker to execute a malicious file with SYSTEM-level privileges. However, exploitation requires that the attacker must either have local access to the system or successfully trick a user, through methods such as social engineering or clickjacking, into downloading both the official Notepad++ installer and a specially crafted malicious executable into the same folder, typically the user’s Downloads directory.

https://cybersecuritynews.com/notepad-vulnerability/

Een storm in een glas water dus?
Reageer met quote
03-12-2025, 19:46 door Anoniem
Door Anoniem:
Door Anoniem: The vulnerability (CVE-2025-49144) could potentially allow an attacker to execute a malicious file with SYSTEM-level privileges. However, exploitation requires that the attacker must either have local access to the system or successfully trick a user, through methods such as social engineering or clickjacking, into downloading both the official Notepad++ installer and a specially crafted malicious executable into the same folder, typically the user’s Downloads directory.

https://cybersecuritynews.com/notepad-vulnerability/

Een storm in een glas water dus?
Ziet er naar uit dat de “uitdaging” al opgelost is door te upgraden naar 8.8.8.
Reageer met quote
04-12-2025, 07:45 door Anoniem
Als ik het goed begrijp is dit de samenvatting van het nieuwsbericht: Pas op! Er zitten kwetsbaarden in de verouderde versies van software.

Volgens mij is dat hedendaags de voornaamste reden dat we software z.s.m. updaten. Het nieuws


Hij erkent dat hij met onvolledige informatie werkt, aangezien de 'full picture' nog niet beschikbaar is

Zijn post lijkt vooral bedoeld om zichzelf in de picture te zetten. Voor de kwetsbaarheid is al lang en breed gewaarschuwd. Die aandacht lijkt in ieder geval te werken, zie deze nieuwspost...
Reageer met quote
04-12-2025, 09:52 door Anoniem
Het probleem was juist dat het update mechanisme van Notepad++ lek is geweest, en dat het actief is misbruikt.
Notepad++ heeft dit niet onder de aandacht gebracht, maar misschien heb ik iets gemist

Deze discussie is misschien nog interessant
https://www.reddit.com/r/cybersecurity/comments/1pd523b/small_groups_of_notepad_users_report_tool_updater/
Reageer met quote
04-12-2025, 21:20 door Anoniem
Door Anoniem: Het probleem was juist dat het update mechanisme van Notepad++ lek is geweest, en dat het actief is misbruikt.
Notepad++ heeft dit niet onder de aandacht gebracht, maar misschien heb ik iets gemist

De vraag is; wanneer is het misbruik begonnen? Was dat al voordat op 18 november v8.8.8 werd uitgebracht, of er na? Hackers speuren ook naar releasenotes, opzoek naar kwetsbaarheden die zijn kunnen misbuiken bij organisaties die niet (snel genoeg) patchen.

Er valt hier gewoon niet zoveel over te zeggen want Kevin Beaumont meldt niet heel veel behalve dat hij heeft gehoord dat er incidenten zijn geweest bij drie ogranisaties. Details hierover ontbreken, en ik denk dat vooral de datum van deze incidenten nou juist informatief is.
Reageer met quote
06-12-2025, 14:51 door Anoniem
Door Anoniem:
Door Anoniem: Het probleem was juist dat het update mechanisme van Notepad++ lek is geweest, en dat het actief is misbruikt.
Notepad++ heeft dit niet onder de aandacht gebracht, maar misschien heb ik iets gemist

De vraag is; wanneer is het misbruik begonnen? Was dat al voordat op 18 november v8.8.8 werd uitgebracht, of er na? Hackers speuren ook naar releasenotes, opzoek naar kwetsbaarheden die zijn kunnen misbuiken bij organisaties die niet (snel genoeg) patchen.

Er valt hier gewoon niet zoveel over te zeggen want Kevin Beaumont meldt niet heel veel behalve dat hij heeft gehoord dat er incidenten zijn geweest bij drie ogranisaties. Details hierover ontbreken, en ik denk dat vooral de datum van deze incidenten nou juist informatief is.

Goed punt!

Dat is inderdaad een van die feestdagen van ze, 1811. Alsof ze even met de release van 8.8.8. wilden gamen.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Image