Notepad++ 8.9.9 schließt sechs Lücken, darunter eine Rechteausweitung über WM_COPYDATA
Notepad++ 8.9.9 ist seit dem 6. November 2026 verfügbar und schließt laut Release-Notes sechs Sicherheitslücken. Die Fehler im Editor erlauben lokalen Angreifern unter anderem eine Rechteausweitung, wenn Notepad++ erhöht läuft und das Plugin NppExec installiert ist. Dazu kommt ein Heap-Überlauf im Plugin MIME Tools.
Das Notepad++-Projekt hat am 6. November 2026 die Version 8.9.9 veröffentlicht. Laut Release-Notes schließt sie sechs Sicherheitslücken, fünf im Editor selbst und eine im mitgelieferten Plugin MIME Tools. CVE-Nummern gibt es dafür noch nicht, die Details stehen in Advisories auf GitHub.
Betroffen sind Windows-Rechner mit Notepad++ 8.9.8 und älter. Die Lücken im Editor setzen alle einen Angreifer voraus, der bereits lokal Code ausführt. Hinweise auf Angriffe nennen weder das Projekt noch die Advisories. Das Update gehört deshalb in den nächsten regulären Verteilungszyklus. Wer Notepad++ häufig mit Administratorrechten nutzt, etwa für die hosts-Datei, sollte es vorziehen.
Was ist passiert?
Zwei der Fehler betreffen die Windows-Fensternachricht WM_COPYDATA, über die andere Programme Notepad++ Daten übergeben können. Laut Advisory GHSA-5jjv-2h6g-63p5 lässt sich die Absenderprüfung in 8.9.8 austricksen. Ein lokaler Prozess mit normalen Rechten kann so einer Notepad++-Instanz mit erhöhten Rechten Befehle unterschieben. Mit dem optionalen Plugin NppExec führte das im Test des Melders zu Codeausführung mit hoher Integritätsstufe. Das Advisory betont selbst, dass es sich um eine lokale Rechteausweitung handelt, nicht um eine Lücke aus dem Netz.
Ein weiterer Fehler betrifft das Speichern geschützter Dateien über die Benutzerkontensteuerung (GHSA-w7wv-vg94-7pvp, CVSS 6.6). Notepad++ legt den Inhalt dabei kurz als Temp-Datei ab. Ein Prozess desselben Nutzers kann sie austauschen, bevor der erhöhte Hilfsprozess sie kopiert. Bestätigt der Nutzer die UAC-Abfrage, landen fremde Inhalte in der geschützten Datei.
Dazu kommen ein Zugriff außerhalb eines Arrays über die Nachricht NPPM_MENUCOMMAND, dessen Ergebnis an ShellExecute geht (CVSS 5.3), und eine Offenlegung von Speicherinhalten beim binären Einfügen aus der Zwischenablage (CVSS 5.6). Im Plugin MIME Tools behebt die Version 3.2 einen Heap-Überlauf in der Funktion SAML Decode, den das Plugin-Advisory als hoch einstuft. Er greift, wenn ein Nutzer präparierte SAML-Daten dekodiert.
Wer ist betroffen?
Die Advisories nennen jeweils 8.9.8 oder ältere Versionen als betroffen. Da die Korrekturen erst in 8.9.9 stecken, sollten auch Rechner mit der 8.9.8.1 vom September aktualisiert werden. Die Lücke in MIME Tools betrifft das Plugin bis Version 3.1. Für die Rechteausweitung über NppExec muss das Plugin installiert und initialisiert sein, Notepad++ mit erhöhten Rechten laufen und eine zweite Instanz aus demselben Programmpfad geöffnet sein.
Wie kritisch ist das?
Die Einstufungen auf GitHub liegen bei „mittel“ für die Lücken im Editor, mit CVSS-Werten zwischen 5.3 und 6.6, wo einer angegeben ist. Ein Angreifer braucht in allen Fällen schon einen Fuß auf dem Rechner. Interessant sind die Fehler für Schadsoftware, die von normalen Nutzerrechten zu Adminrechten wechseln will, wenn Notepad++ erhöht läuft. Nach eigener Einschätzung ist die MIME-Tools-Lücke die einzige, bei der präparierte Daten von außen genügen. Dafür braucht es aber eine bewusste Aktion des Nutzers.
Was sollten Admins jetzt tun?
- Inventar: installierte Notepad++-Versionen über Softwareverteilung oder Inventarisierung erfassen, auch portable Kopien in Admin-Werkzeugordnern.
- Notepad++ 8.9.9 von der Projektseite oder aus den GitHub-Releases verteilen und die veröffentlichten SHA-256-Prüfsummen abgleichen.
- Prüfen, ob die Plugins NppExec und MIME Tools installiert sind. MIME Tools sollte danach mindestens in Version 3.2 vorliegen.
- Notepad++ nicht dauerhaft als Administrator starten. Das senkt das Risiko aller WM_COPYDATA-Fehler.
Einordnung für Unternehmen
Notepad++ ist auf vielen Admin- und Entwicklerrechnern Standard und wird oft außerhalb der zentralen Softwareverteilung installiert. Nach 14 Lücken in 8.9.8 im August und fünf in 8.9.8.1 im September ist 8.9.9 das dritte Sicherheitsupdate in kurzer Folge. Ein fester Updateweg für solche Werkzeuge spart da Zeit.
Passende Anleitungen auf S-EDV
- Notepad++ 8.9.8: 14 Sicherheitslücken schließen, Update-Anleitung für Admins
- Paint-Lücke CVE-2026-83844: Fix kommt nur über den Microsoft Store
