Notepad++ part7

■NotePad++ 公式サイト
https://notepad-plus-plus.org/

■前スレ
Notepad++ part6
https://egg.5ch.net/test/read.cgi/software/1692183581/

v8.9.6
https://notepad-plus-plus.org/downloads/v8.9.6/

8.9.6.1
CVE-2026-48770
CVE-2026-48778

CVE-2026-48778
こんなとこを上書きするやつがいるのかという話はあるが
書いてある通り%APPDATA%\Notepad++\config.xmlにcalc.exeを書いたら本当に任意のコマンド（calc.exe）が実行された

shortcuts.xmlにcalc.exeを書いてメニューの実行から追加したメニューを選んだら任意のコマンド（calc.exe）が実行されたけどすでに自分でメニューとショートカットキーを登録してた
こんなのがダメなのかな

v8.9.6.1
https://notepad-plus-plus.org/downloads/v8.9.6.1/

>>560
そういう脆弱性を足掛かりに大規模攻撃作る天才とかいるんじゃね？
ジャンル違うけどカプコンのVPN機器へのハッキングもあったな～
あれも安全と言われるVPNも1つの脆弱性で簡単に突破されるいい事例だなw

Notepad++検索
最近のセキュリティ問題により、私たちの組織はNotepad++を削除しようとしています。
://www.reddit.com/r/sysadmin/comments/1r3doyu/org_is_banning_notepad/?tl=ja
Notepad++が国家支援ハッカーにハイジャックされマルウェア入りインストーラーを配布していたことが判明
://gigazine.net/news/20260203-notepad-plus-plus-hijacked-state-sponsored-hackers/
日本サクラエディタ人気は新しいリリースされないが脆弱性なく安心
脆弱性恐れすぎだがリリースノート読む
://forest.watch.impress.co.jp/docs/news/2111552.html
（2026年5月26日）読み解凍でconfig.xml上書きされない警戒

2026年5月26日 13:05
v26.00以前のすべてのバージョンが影響を受けるが、4月27日にリリースされたv26.01で修正済み。

V8.9.6.2
https://github.com/notepad-plus-plus/notepad-plus-plus/releases/tag/v8.9.6.2

v8.9.6.2
カスタムコマンドショートカットキー実行したらshortcuts.xml開いた
メニューValidate shortcuts.xml選んだらHMAC確定しカスタムコマンド追加毎に再Validate必要
://github.com/notepad-plus-plus/notepad-plus-plus/commit/ea1508855e9c4528f6198ce9d345f13cb759ebf4

V8.9.6.4
https://github.com/notepad-plus-plus/notepad-plus-plus/releases/tag/v8.9.6.4

何回リリースするねんタコスケ

なんでリリースしたら怒るの？（＾ω＾；）

今回刻んでいるのは重大な脆弱性への対応とその修正だからな
何よりスピードが大事ということで

でも自動実行によるアップグレードに乗ってないよね
本当に重要な修正なら、さまざまな経路を駆使して迅速に配布するんじゃないだろうか