Notepad++: Update-Prozess gekapert

Ich nutze echt gern Notepad++. Da das Programm für ziemlich viele Programmiersprachen Module mitbringt, ist es quasi unverzichtbar geworden. Ich weiß von extrem vielen Leuten aus meiner Branche, dass sie den Editor benutzen. Ja, ich weiß schon: Laut Microsoft soll alles viel geiler mit deren eigenem Zeug gehen. Aber was zählt das schon? Nein, über die Jahre habe ich mich echt gern an diesen Editor gewöhnt. Und dann lese ich, dass über einige Zeit deren Update-Prozess missbraucht wurde.

Notepad++: Was soll das sein?

Ja, die Dudes aus meiner Branche wissen natürlich Bescheid, denen muss ich nicht erzählen, was Notepad++ ist. Allen anderen muss man schon mal 3 Takte dazu sagen. Also: Es begab sich aber zu jener Zeit, dass der Editor in Windows mit Programmiersprachen nichts am Hut hatte und auch so völlig starr war. Grundgerüst der Alternative ist C++, deshalb auch die zwei Pluszeichen im Namen. Mit dem Editor kann ich Quelltext jeglicher Art und in etlichen Sprachen ansehen und bearbeiten.

Ein extrem großer Vorteil gegenüber dem Windows Editor war halt auch, dass Notepad++ mehrere Dateien offen haben kann und diese in Tabs vorhält. Das kam beim Windows Editor erst mit Windows 11, denke ich. Und wie in jeder Software, mit der programmiert werden kann, kann ich bei Notepad++ Code-Abschnitte zusammenfalten. Das Tool ist leichter als so manche Programmier-Software und bringt auch die Hervorhebung von Syntax mit sich.

Mit anderen Worten: Für Menschen wie mich, die mit Programmierung jetzt nicht so wahnsinnig viel am Hut haben und die sich vielleicht dem Verständnis nach etwas anschauen wollen, reicht Notepad++ vollkommen aus. Und ich kann, wenn ich das wollen würde, ohne viel Aufwand mir Code-Schnipsel erstellen und all das. Das mache ich auch mit Funktionen für meinen Blog. Ihr könnt ja mal hier lesen, was es dazu sagen gibt.

Anschlag auf den Update-Prozess?

Wie bei jeder Software gibt es auch bei Notepad++ einen Update-Prozess. Und ich erzähle ja immer, wie wichtig das ist. Und was muss ich dann lesen? Der Update-Prozess wurde gekapert, um Schadcode auszuliefern. Vor der Version 8.8.9 konnte der Prozess, Notepad++ automatisch zu aktualisieren, dafür missbraucht werden, Schadcode auszuliefern. Und das ist dann wohl auch passiert. Aktuell ist allerdings die Version 8.9.1.

Offenbar wurde wohl der Datenverkehr vom AutoUpdater namens WinGUp im Jahr 2025 gekidnappt. Es gab eine Schwachstelle, mit der ein Angreifer den Netzwerverkehr zwischen dem Updater und der Infrastruktur abfangen konnte, um eine unerwünschte Binärdatei statt des Updates herunterzuladen. Es deutet vieles darauf hin, dass da wieder einmal staatliche Akteure dahingesteckt haben. Mit Version 8.8.9 wurde die Lücke geschlossen.

Ich habe auf mehreren Seiten gelesen, dass offenbar wieder mal China dahinterstecken könnte. Man kam darauf, weil die Auswahl der möglichen Opfer sehr selektiv war. Eigentlich war der frühere Hoster von Notepad++ von dem Angriff betroffen. Behoben wurde das Alles dadurch, dass der Entwickler bis zum 02.12.2025 die Angreifer schlicht ausgesperrt hatte, nachdem die Update-Infrastruktur auf einen neuen Server umgezogen ist.

Wie groß ist der Schaden?

Jetzt kann man viel darüber spekulieren, welchen Schaden die Angreifer angerichtet hatten, als sie die Sicherheitslücke ausgenutzt hatten. Das Problem bestand laut Entwickler zwischen Juni und Dezember 2025. Die eigentliche Lücke lag wohl beim damaligen Hoster, aber Notepad++ war halt davon betroffen. Allerdings ist wohl die Anzahl der wirklich betroffenen Opfer recht gering. Das lag an der speziellen Auswahl und daran, dass einige Voraussetzungen überhaupt erfüllt sein mussten.

Don Ho, der „Erfinder“ des Editors, hat das Ganze wohl einer eingehenden Integritätsprüfung unterzogen und konnte letztlich Entwarnung geben. Die nun eingebaute Prüfung der Update-Dateien sollte jetzt eigentlich sicherstellen, dass so ein Vorfall nicht mehr auftreten kann. Dennoch ist es so: Es gibt keine absolute Sicherheit. Es ist wahrscheinlich alles nicht so schlimm. Aber es zeigt eben, dass man sich nie absolut auf irgendwas verlassen kann.

Im Menü des Editors kann ich über das „Fragezeichen“ auswählen, dass ich „Notepad++ aktualisieren“ möchte. Es spricht nichts dagegen, das hin und wieder zu tun. Damit reduziere ich üblicherweise in jeder Software die Anzahl an Problemen. Egal, wie klein der „Impact“ auf die Welt hier sein mag, es zeigt, wie verwundbar die Informatik an sich ist.