Notepad++ part7

■NotePad++ 公式サイト
https://notepad-plus-plus.org/

■前スレ
Notepad++ part6
https://egg.5ch.net/test/read.cgi/software/1692183581/

セキュリティインシデントへの対応として、Notepad++ Webサイトは「非常に強力なプラクティス」を備えた新しいホスティングプロバイダーに移行され、整合性を確保するための追加のガードレールによって更新プロセスが強化されました。

「以前のホスティングプロバイダーによると、共有ホスティングサーバーは2025年9月2日まで侵害を受けていた」とホー氏は説明した。「サーバーへのアクセスを失った後も、攻撃者は2025年12月2日まで内部サービスの認証情報を保持しており、Notepad++の更新トラフィックを悪意のあるサーバーにリダイレクトし続けることができた。」

Notepad++ Hijacked by State-Sponsored Hackers | Notepad++
https://notepad-plus-plus.org/news/hijacked-incident-info-update/

つまりどういうことなんだってばよ？

The Chrysalis Backdoor: A Deep Dive into Lotus Blossom’s toolkit
https://www.rapid7.com/blog/post/tr-chrysalis-backdoor-dive-into-lotus-blossoms-toolkit/

手動ダウンロードしてた人は関係なし

Notepad++でもか～Emのやつと同じ犯人なのかな？
なんか去年からこの手の多いね

自分は2023のVer8.5.2のまま使ってたから助かった
解決したみたいだしアップデートしとくかな

つまりどうすればいいのか

こぉのカメレオン野郎！！

情報の灯台【ソース有り・収益無し】
@joho_no_todai
Notepad++が半年間、国家支援ハッカーに乗っ取られていた。
2025年6月から12月まで、アップデートを装ってマルウェアを配布。

標的は東アジアの通信・金融組織。
コードは無傷だった。侵されたのはインフラだ。
http://pbs.twimg.com/media/HANoJo-aEAACnaL.jpg

午後3:25 ・ 2026年2月3日

ハッカー側が標的以外には手出してない事をお祈りしとけって事かよ

こういう輩はクラッカーと呼ぶべき

自動更新のURLをマルウェアにリダイレクトしてたんだろ、コードが無傷とかどうでもいい話じゃんね

自動アプデするのに署名検証しないとかそりゃ攻撃されるわ
サーバがやられて不可抗力みたいな言い訳してるがプログラムの欠陥だ
http://takagi-hiromitsu.jp/diary/20050424.html

マルウェアが入ったインストーラーを配布したEmEditorに嫌気がさしてNotepad++に移行したのに、いきなりこれか
本体は問題ないのだろうけど、どちらも詰めが甘いんだよな

水平ルーラーを実装しないからこうなるんだ（関係ない）

結局一般ユーザーにはあまり関係ない話ではあるらしいな
https://www.itmedia.co.jp/news/articles/2602/06/news033.html

特定のユーザーが標的にされただけだから
https://i.imgur.com/RCE74gG.png

notepad-plus-plus.orgのサーバが乗っ取られてhttps://notepad-plus-plus.org/update/getDownloadUrl.phpの応答を改竄して
不正なアップデータを送りつけるという手口
選択的にやっていたようだが該当期間に自動更新した覚えがあるなら確認したほうがいい

テキストエディタ「Notepad++」のアップデートツールが乗っ取り被害　バックドアの配信に悪用　中国APT集団が関与か
https://www.itmedia.co.jp/news/articles/2602/06/news033.html

専門家は今回の攻撃について、中国国家を後ろ盾とするAPT集団（特定の標的を狙って長期的な攻撃を展開するサイバー攻撃グループ）「Lotus Blossom」が関与していると推測する。

サイバーセキュリティ企業の米Rapid7によると、Lotus Blossomは東南アジアや中米でスパイ活動を展開している集団で、政府機関や航空、通信、重要インフラ、メディアなどを主な標的としている。今回はカスタムバックドアの「Chrysalis」を仕込む目的でNotepad++のアップデートを利用したと思われる。

Chrysalisはこれまで未発見だったバックドアで、高度な機能を搭載し、検出を難しくする仕組みを実装していた。「Lotus Blossomが最新の検出技術に先行しようと、積極的に手口をアップデートしていることの表れ」とRapid7は分析している。

また中国かよ
人類の癌

こういうのは国家型サイバークライム集団というかな
ロシアや中国や北朝鮮はこういうの抱えてるやろな
西側にもいない訳じゃないが大体悪さしてるのはこいつらやなｗ

西側でいうとイスラエルの8200部隊とか有名だけど日本じゃ
一部の人しか知らんだろうなー
イスラエル製のスパイウェアとかも世界じゃ有名なんですわ

インターネットの登録記録によれば、このドメインは1月21日までリトアニアのホスティングプロバイダーHostingerによってホストされていたことが示されており、ホー氏は電子メールでこの事実を確認した。
Internet registration records show that the domain was hosted by Lithuanian hosting provider Hostinger until January 21, a fact Ho confirmed in the email.
://www.asahi.com/ajw/articles/16330861

フランス在住の開発者ドン・ホー氏は２日、プロジェクト公式サイトのブログで、「悪意ある攻撃者」が２０２５年６月からユーザーへのNotepad++の更新配信に使用するサーバーに侵入した可能性があり、「特定のユーザー」が標的にされたと発表した。 ハッカーらは２５年９月２日まで更新用ホスティングサーバーにアクセスできたが、一部のホスティングサービスへの認証情報は２５年１２月２日まで保持されていたという。
://jp.reuters.com/business/technology/TGHGXBU24BJUTCW4UUFDTQDELI-2026-02-03/

Notepad++が台湾の主権を支持すると表明していることが、中国の政府支援ハッカーのターゲットとなった理由であると指摘する声もあります。
://gigazine.net/news/20260203-notepad-plus-plus-hijacked-state-sponsored-hackers/

notepadの件は台湾支援を表明してるからかよｗｗｗ
くだらねぇ...ww幼稚すぎる中国政府ｗｗｗ

中共への勝共的妄想垂れ流してる外国住みの台湾人って日本に帰化したどっかのウクライナ人みたいで嫌だわ

://notepad-plus-plus.org/news/v872-released/
よく調べたわけでないけど自由と民主主義のために戦ってる印象だな
「fights to protect its freedom, democracy and national dignity」の部分
なぜそうなる？日本人に多い印象だが支配されて奴隷になりたがってるのかな

自由だの民主だのほざいてやってることは安全なところからほぼほぼ外観誘致

字が違う、外患誘致だ
だめだこの辞書

ちょっとナニイッテンノカワカンナイｗ ただの感情論じゃんｗ
中国政府のやってる事が国際法を守りまともだとでも？ｗｗ
ウクライナ侵攻はロシアじゃなく西側が悪いとか言ってるZさんですか？ｗｗｗ

>>507はアンドリー・ナザレンコの事いってるのか？ｗ
ま～大分日本の右派の影響受けてるけどウクライナは被害者ねｗ
そこを間違えちゃあかんぜよ？ｗ

>>507は台湾の民進党や蔡英文や周庭とかお嫌い？ｗ
周庭は香港の人やけどな

>>512
一般ウクライナ人は被害者だけど、レンコは違うだろ。国へ帰って戦えよ

それはともかく中共の悪口言ってるってだけでこんなマイナーなエディタの作者を「中国国家を後ろ盾とする集団」(米機関談)がわざわざ狙うもんだろうか？
あるいはたまたま穴があったから利用しただけかもしれんが、優秀なハッカー集団がそんな簡単に正体を掴ませるものなのか？
いつもアメリカの企業や専門家はロシアや北朝鮮のサイバー攻撃だぁー！って言ってるけど、むしろアメリカやイスラエルの方がそういうこといっぱいやってそうに思う

>>514
https://survey.stackoverflow.co/2023/#section-most-popular-technologies-integrated-development-environment
2023年開発環境ランキングで4位（テキストエディタなら世界1位）
マイナーでないよ

>>514
いや戦闘参加はあくまでも義務やしナザレンコさんが参加するかも本人の自由や
君は大分中共やロシア政府のプロパガンダの影響を受けてないか？ｗ
普通に中国政府系ハッカーによるハッキングは有名だし記事書いてる人が多いな

>>514
後わざわざ狙うもただの印象論じゃんｗ 普通に攻撃の標的にするケースはあると思う
「あるいはたまたま穴があったから利用しただけかもしれんが」についても君の私見と認知バイアスだな
優秀なハッカーじゃないから痕跡残したんでしょｗ
ロシアや北朝鮮がサイバー攻撃してるのは周知の事実だしそういう部隊がいるのも有名だよ
君がただ無知でバカなプロパガンダの影響者ってだけじゃんｗ

>>514
アメリカやイスラエルにそういう部隊が無いとは言わないが
今の世界情勢は大体西側よりだし道義的にみてもロシアや北朝鮮がやってる事は問題が多いよ
ロシアの軍事行為しかり北朝鮮の核開発やロシアのウクライナ侵攻への派兵も問題が多いよ

いいかげんにしろ

いい加減にするのはアンチウクライナの親中国共産党のあほと
プーチンが大好きなZバカですよｗｗｗ

なにこの人？
宗教の人？
ネット世論操作のアルバイトでもしてたの？

>>521
質問ばかりする人がうざい
おまえが何なんだ？
「いいかげんにしろ」はこういうやつ
質問するな

>>521
まともに新聞も読まないタイプのお馬鹿？ｗ
反ワクチンとか変な陰謀論信じてる？ｗ

>>521
今の時期に世界情勢も知らないのは反ワクの頭Zだと言われるよｗ
世論操作とか言ってる時点で情弱なのも分かるしｗ

言ってることがおかしい
AIのBOTか？
人間ならNotepad++の話しようよ

政治の知識がないんじゃんｗ
Notepad++スレだけど政治の知識くらいないとお馬鹿にされますぞい

Notepad++ v8.9.2
https://notepad-plus-plus.org/downloads/v8.9.2/

V8.9.2
https://github.com/notepad-plus-plus/notepad-plus-plus/releases/tag/v8.9.2

テキストエディター「Notepad++」v8.9.2が公開 〜“ダブルロック”の自動更新で安全に

不正なアップデートファイルがダウンロードされてしまったセキュリティ事件を反省
https://forest.watch.impress.co.jp/docs/news/2086553.html

8.9.3

>>530
🆕https://notepad-plus-plus.org/downloads/v8.9.3/#notepad-v8-9-3-regression-fixes-bug-fixes-new-improvements
　19. Enhancement: prevent XML config files from being overwritten when updating portable package (copy/paste).

ポータブル版で上書きアップデート時に特定のxmlが上書きされて設定が消失するバグが到頭是正！👍
今回のzipにconfig.xmlやshortcuts.xmlは入って無かった
ので全ファイルをコピペしても大丈夫

v8.9.3より過去のversionのポータブル版にはxmlが入ってるので注意ｗ

Do more to stop war - keep helping Ukraine
https://notepad-plus-plus.org/assets/images/4Ukraine.jpg

Excelからセルを選択してコピー＆ペーストしたらNotepad++がクラッシュすることがある

v8.9.4
https://notepad-plus-plus.org/downloads/v8.9.4/

Windowsの定番テキストエディター「Notepad++」がMacに対応、ネイティブAPIで書き直し
独立した移植プロジェクト、プラグインもそのまま使える
https://forest.watch.impress.co.jp/docs/serial/yajiuma/2105125.html

最大のポイントは「Wine」もエミュレーションも一切不要なこと。「Objective C++」とmacOSのネイティブAPIで書き直されており、Apple Silicon/Intelの両方で快適に動作します。バッテリー持続時間へ影響も抑えられています。

なお、Mac版「Notepad++」は独立した移植プロジェクトであり、Windows版「Notepad++」プロジェクトとは関係がないとのこと。間違ってMac版の不具合報告をWindows版に送ったりはしないでくださいね！

目指せ！次はLinuxネイティブだ！

Linux信者は一生vi(m)に引きこもってればいいよ

AIにLinuxに書き換えてと言ったら書き換えられない？
ScintillaとLexillaの低レイヤーを

Scintillaはもともとマルチプラットフォーム

本家はWin32APIゴリゴリっぽいからwineで我慢したら

Notepad--で我慢しろ

>>535
Windows用テキストエディタ「Notepad++」が「Notepad++ for Mac」として商標やロゴ使用の許可なくMacへ移植されたとして、Windows版の開発者が修正するように要求。
https://applech2.com/archives/20260504-notepad-pp-for-mac-trademark-clash.html

Windows用のエディタアプリに2023年からDon Hoさんが開発している「Notepad++」という老舗のエディタがありますが、このNotepad++が無許可でMacに移植されたとして話題になっています。

DonさんはNotepad++はオープンソース(GNU GPL)のためMacへの移植には問題はないが、Notepad++というアプリ名やロゴの使用は許可しておらず、現在動作するNotepad++ for Macが、今後オリジナルのNotepad++のアップデートで動作し続けるかは不明で、オリジナルのNotepad++のIssuesに関係のないMac版の不具合を報告されても困るし、Mac版の検証も責任も持てないとして公式の移植でないことを明確するように求めていました

これに対し、Notepad++ for Macを公開したAndreyさんは謝罪し、数日以内にNotepad++ for Macの名前やロゴ、Webサイトなどブランディングを刷新し、非公式のNotepad++の移植だと明記するとコメントしているので、今後Notepad++のMacポートが新たに公開されると思われます

Notepad++は2023年じゃなくて2003年生まれやで

Linux版を作らせようとした人がいたけど無許可で作ったら怒られるなｗ
たぶん許可されない
Mac版の不具合を報告されても困る
たぶん開発者がMacを持ってない

記事を読む限りオープンソースなんでしょ？
Linux作りたい人がフォークして別名で出せばいいだけよ

Don HoはNotepad++の名称を商標登録しているから、名前とロゴ丸パクリは論外やでと
Mac版作者がフォーラムでボロクソに叩かれてるな

Mac版作者は何か色々と言い訳しているけど、本家の名前を利用して広めたい企みが露見して
Don Hoとフォーラム住人がブチ切れて商標の件で通報したから、Mac版作者が日和ってNextpad++にWEBページも名称変更はしたっぽい

本家が🍎版出したわけじゃないのかw

macOS版「Notepad++」プロジェクトが商標侵害・誤認誘導の疑いで炎上
次期バージョンから「Nextpad++」に改称へ
https://forest.watch.impress.co.jp/docs/serial/yajiuma/2106516.html

macOS版「Notepad++」のプロジェクトを主宰しているAndrey Letov氏も悪気があったわけではなく、当初は本家プロジェクトに認めてもらおうと開発者のDon Ho氏にメールで連絡を試みていたようですが、Don Ho氏はこのメールに返事をしなかった模様。ちゃんとした許可が得られないまま、Andrey Letov氏がそのまま見切り発車で「Notepad++」を名乗る派生プロジェクトを公開してしまった……という流れのようです。

Windows版「Notepad++」とmacOS版「Notepad++」が独立したプロジェクトであることは、macOS版「Notepad++」の公式サイトにも明示されていましたが、本家にリスペクトを示すためか、公式サイトの開発者リストへ勝手にDon Ho氏を加えていたり、本家「Notepad++」の流れを汲むことをアピールしていた点も、あまりよくありませんでした。本家との誤認を狙ったととられても仕方がないでしょう。

macOS版「Notepad++」は、次期バージョンのv1.0.6より「Nextpad++」へ改称されるとのこと。これはSteve Jobs氏によって設立され、のちにAppleに買収された「NeXT」に由来します。現在のmacOSの基礎となっているOSに敬意を表した名前ですね。これでもちょっと「Notepad++」と紛らわしいのではないか、今度はAppleから訴えられないかと指摘するユーザーもいますが……どうなのでしょうか。

Notepad++サイトに、macOSポートに関する商標権侵害は解決したという記事が書かれていた。
「移植は歓迎だが推奨はしない」という立場の明確化が印象に残った。

Notepad++の商標問題に関する説明 2026年5月5日 (英語)
https://notepad-plus-plus.org/news/clarify-npp-trademark-infringement/

そりゃ、推奨してお墨付きを与えるようなことを表明したら、
移植先での面倒な問題を呼びこみかねないからなぁ
どのOSS開発元も同じような対応じゃね？

フォーク先に関してうちは関知しませんよみたいなニュアンスだわな
OSSでそうじゃないプロジェクトを探すほうが難しい

なんでforkしたのかが分からない
普通にNotepad++にmac対応を統合させるアプローチは取れなかったのだろうか?

まあこれに関してはコミット履歴見ればわかるけどClaude使ってAI生成した成果物が大半ぽいから
オリジナルにマージされる道を選ぶのは厳しいと思うよ
最近はいわゆるAI Slopを避けるためにAI生成コードのプルリクエストを一律禁止にしてるOSSを結構見るしね

どちらの環境にも精通している統括者がいるのでなければ、
同じプロジェクトとして扱うのは難しいだろう

Nextpadって名前のエディタは前からあるっぽいけど問題ないのか？

Nextpad - Notepad for Windows
https://www.definestudio.in/nextpad
nextpad - Simple Notepad++ Alternative for Everyone
https://github.com/Budgiem8/nextpad

V8.9.5でました
https://github.com/notepad-plus-plus/notepad-plus-plus/releases/tag/v8.9.5

v8.9.6
https://notepad-plus-plus.org/downloads/v8.9.6/

8.9.6.1
CVE-2026-48770
CVE-2026-48778

CVE-2026-48778
こんなとこを上書きするやつがいるのかという話はあるが
書いてある通り%APPDATA%\Notepad++\config.xmlにcalc.exeを書いたら本当に任意のコマンド（calc.exe）が実行された

shortcuts.xmlにcalc.exeを書いてメニューの実行から追加したメニューを選んだら任意のコマンド（calc.exe）が実行されたけどすでに自分でメニューとショートカットキーを登録してた
こんなのがダメなのかな

v8.9.6.1
https://notepad-plus-plus.org/downloads/v8.9.6.1/

>>560
そういう脆弱性を足掛かりに大規模攻撃作る天才とかいるんじゃね？
ジャンル違うけどカプコンのVPN機器へのハッキングもあったな～
あれも安全と言われるVPNも1つの脆弱性で簡単に突破されるいい事例だなw

Notepad++検索
最近のセキュリティ問題により、私たちの組織はNotepad++を削除しようとしています。
://www.reddit.com/r/sysadmin/comments/1r3doyu/org_is_banning_notepad/?tl=ja
Notepad++が国家支援ハッカーにハイジャックされマルウェア入りインストーラーを配布していたことが判明
://gigazine.net/news/20260203-notepad-plus-plus-hijacked-state-sponsored-hackers/
日本サクラエディタ人気は新しいリリースされないが脆弱性なく安心
脆弱性恐れすぎだがリリースノート読む
://forest.watch.impress.co.jp/docs/news/2111552.html
（2026年5月26日）読み解凍でconfig.xml上書きされない警戒

2026年5月26日 13:05
v26.00以前のすべてのバージョンが影響を受けるが、4月27日にリリースされたv26.01で修正済み。

V8.9.6.2
https://github.com/notepad-plus-plus/notepad-plus-plus/releases/tag/v8.9.6.2

v8.9.6.2
カスタムコマンドショートカットキー実行したらshortcuts.xml開いた
メニューValidate shortcuts.xml選んだらHMAC確定しカスタムコマンド追加毎に再Validate必要
://github.com/notepad-plus-plus/notepad-plus-plus/commit/ea1508855e9c4528f6198ce9d345f13cb759ebf4

V8.9.6.4
https://github.com/notepad-plus-plus/notepad-plus-plus/releases/tag/v8.9.6.4

何回リリースするねんタコスケ

なんでリリースしたら怒るの？（＾ω＾；）

今回刻んでいるのは重大な脆弱性への対応とその修正だからな
何よりスピードが大事ということで

でも自動実行によるアップグレードに乗ってないよね
本当に重要な修正なら、さまざまな経路を駆使して迅速に配布するんじゃないだろうか