Manchmal rächt es sich, wenn man ein minimalistisches Werkzeug mit Funktionen überlädt, die eigentlich niemand bestellt hat. Der gute alte Windows-Editor (notepad.exe), jahrzehntelang das digitale Äquivalent zu einem simplen Schmierblock, stolpert nun über seine neu gewonnene Modernität. Konkret geht es um die Markdown-Unterstützung, die Microsoft dem Tool spendiert hat - und die prompt eine handfeste Sicherheitslücke aufgerissen hat.
Die Experten der Zero-Day-Initiative (ZDI) haben das Leck mit der Kennung CVE-2026-20841 genauer unter die Lupe genommen. Das Problem: Notepad filtert eingebettete Links in Markdown-Dateien nicht konsequent genug. Ein Angreifer muss ein potenzielles Opfer lediglich dazu bringen, eine präparierte .md-Datei zu öffnen und auf einen darin enthaltenen Link zu klicken. Durch unzureichende Prüfung reicht der Editor Befehle direkt an das System weiter. Über Protokoll-Handler wie file:// oder ms-appinstaller:// lässt sich so Schadcode ausführen, der im Kontext des Nutzers läuft.
Das Risiko wird mit 7.8 ("Hoch") eingestuft, was für einen simplen Texteditor eine beachtliche Leistung ist. Microsoft hat zwar im Rahmen des Februar-Patchdays reagiert und ein Update ausgerollt, doch die Analyse zeigt einmal mehr, wie anfällig neue Features in alter Kernsoftware sein können. Die Sicherheitsforscher empfehlen Admins sogar, den Netzwerkverkehr gezielt nach verdächtigen Markdown-Dateien zu scannen, die solche URI-Handler enthalten.
Bisher gibt es zum Glück keine Anzeichen dafür, dass die Lücke aktiv für großflächige Angriffe genutzt wird. Dennoch ist es eine ironische Randnotiz der Software-Entwicklung: Früher war Notepad sicher, weil es quasi nichts konnte. Heute ist es dank Copilot-Integration und Markdown-Rendering zwar "mächtiger", aber eben auch ein potenzielles Einfallstor mehr in der Windows-Landschaft. Wer sichergehen will, sollte den Patchday nicht ignorieren - oder für Markdown-Dateien schlicht auf Editoren setzen, die schon länger wissen, wie man sicher mit Links umgeht.
Kommentare (0)