Notepad++ の複数の脆弱性が FIX：深刻な PowerShell コマンド・インへクションなどに対応

Multiple Notepad++ Vulnerabilities Enable PowerShell Command Injection Attacks

2026/07/15 CyberSecurityNews — Notepad++ のバージョン v8.9.7 がリリースされ、複数の脆弱性に対処する重大なセキュリティ修正が提供された。その中には、インストール中に任意コードの実行を引き起こす可能性のある、高リスクの PowerShell コマンド・インジェクションの脆弱性 CVE-N/A が含まれる。この更新では、パストラバーサル／バッファ・オーバーフロー／認証バイパスの弱点といった、5 件の問題が解決されており、最も広く使用されている Windows テキスト・エディタの 1 つである Notepad++ のセキュリティ体制が強化される。

このリリースで修正された最も深刻な問題は、インストール時の PowerShell コマンドインジェクション脆弱性である。インストーラ内での PowerShell コマンドの不適切な処理を誘発する攻撃者は、実行フローを操作し、任意のコマンドを注入できる。

実環境のシナリオとしては、この脆弱性を悪用する攻撃者が、改竄されたインストール・パッケージやソーシャル・エンジニアリング攻撃などを介して、システムの完全な侵害を達成する可能性がある。

すでに Notepad++ の開発者は、インストーラにおける PowerShell コマンド処理の堅牢性を改善し、コマンド・インジェクションと不正な実行のリスクを緩和した。

上記の PowerShell の問題に加えて、このリリースでは、異なるコンポーネントに影響する重大な脆弱性 CVE-2026-54758 も修正されている。expandNppEnvironmentStrs 関数におけるスタックバッファ・オーバーフローの欠陥により、メモリ破損と潜在的なコード実行が引き起こされる可能性がある。

WinGUp における Zip Slip (パストラバーサル) の脆弱性 CVE-2026-57233 を悪用する攻撃者は、アップデートの展開中に任意のファイルを上書きする可能性がある。セッション処理の欠陥により、操作された session.xml エントリを介して、パス検証がバイパスされる。

shortcuts.xml におけるマクロ完全性バイパスの脆弱性 CVE-N/A により、適切な HMAC 検証なしに、不正なマクロ実行が可能になる。ローカル・コンフィグ・ファイルと更新メカニズムが適切に保護されていない場合に、これらの脆弱性は攻撃ベクターとして悪用され得る。

追加の修正と機能強化

CVE ID	Vulnerability	Component	Impact
CVE-2026-52886	session.xml backupFilePath starts_with bypass	Session management	Path validation bypass
CVE-2026-54758	Stack buffer overflow in expandNppEnvironmentStrs	Core function	Memory corruption, possible RCE
CVE-2026-57233	Zip Slip (path traversal)	Updater (WinGUp)	Arbitrary file overwrite
Not Assigned	shortcuts.xml macro HMAC bypass	Macro system	Integrity bypass, macro abuse
Not Assigned	PowerShell command injection	Installer	Arbitrary command execution

セキュリティ・パッチと並行して、Notepad++ v8.9.7 では、複数の安定性改善とユーザー要望による機能が導入されている。主な更新には、以下が含まれる。

• Folder as Workspace における展開／折りたたみ状態の永続化
• 件数および n 番目の位置インジケータを備えた Incremental Search の強化
• クラッシュ／UI の不具合／高 DPI スケーリング問題の修正
• Scintilla 5.6.4／Lexilla 5.5.1／pugixml 1.16 への更新

これらのバグ修正では、ファイル処理の不整合／シンボリックリンクによるフリーズ／検索関連の性能問題にも対処されている。

ユーザーに強く推奨されるのは、Notepad++ v8.9.7 へと速やかに更新することだ。信頼できないファイルとの対話や自動化ワークフローにおいて、エディタが使用されるエンタープライズ環境／開発環境では、迅速な対応が重要となる。

実務上の例として、開発者が偽装された配布元から侵害済みインストーラをダウンロードすると、PowerShell インジェクション脆弱性が知らないうちに発火し、インストール中に攻撃者がマルウェアを展開する可能性が生じる。

ソフトウェアを最新の状態に保ち、ダウンロード元を検証することが、このような悪用経路に対する重要な防御である。

重大なリグレッションが検出されなければ、このバージョンを 2 週間以内に自動アップデータで展開すると、Notepad++ チームは述べている。ただし、即時の保護には、手動によるアップデートが推奨される。

多くの開発者に愛用されているテキスト・エディタ Notepad++ において、複数の脆弱性が明らかになりました。日常的に多様なファイルを扱うツールであるため、予期せぬ不具合がシステム全体の安全を脅かす背景があります。バージョン v8.9.7 未満には複数の脆弱性が存在し、不正なファイルの書き込み／意図しないコマンドの実行／メモリの破損などを招く恐れがあります。安全に業務を続けるための対策として、開発元から提供されている最新の修正済みバージョンへ速やかにアップデートを行う必要があります。よろしければ、Notepad++ での検索結果も、ご参照ください。