В «Блокноте» Windows устранена критическая уязвимость удаленного выполнения кода

Microsoft выпустила обновление безопасности, устраняющее серьезную уязвимость в приложении «Блокнот» (Notepad) для Windows. Проблема, которую не следует путать с недавним инцидентом с Notepad++, могла позволить атакующим удаленно выполнять вредоносный код на компьютере жертвы.

Уязвимость с идентификатором CVE-2026-20841 представляет собой ошибку удаленного выполнения кода (RCE) во встроенном приложении Windows – Блокнот. Она возникала из-за того, что приложение некорректно очищало или блокировало опасные специальные символы в определенных командах. Проблема затрагивает современную версию «Блокнота», распространяемую через Microsoft Store, в частности при работе с файлами Markdown (.md).

Согласно бюллетеню безопасности, злоумышленник мог воспользоваться этой уязвимостью, создав вредоносный файл формата Markdown со специально сформированными ссылками. Если пользователь открывал такой файл в «Блокноте» и нажимал на одну из ссылок, то запускался скрипт, который загружал и выполнял вредоносный код. В случае успешной атаки злоумышленник получал полный контроль над компьютером жертвы со всеми соответствующими правами доступа.

Уязвимости присвоена базовая оценка 8,8 баллов по шкале CVSS v3.1 (высокая степень опасности). При этом максимальный уровень серьезности по классификации Microsoft указан как «Важная». На момент выпуска исправления Microsoft не зафиксировала публично известных эксплойтов.

Исправление вошло в состав февральского набора обновлений безопасности «Вторника Патчей» (Patch Tuesday) 2026 года, выпущенного 10 февраля 2026 года. Пользователям рекомендуется установить последние обновления Windows и убедиться, что приложение «Блокнот» обновлено до актуальной версии.

Обновления безопасности Windows (февраль 2026)

Обнаружение этой уязвимости вновь вызвало дискуссию среди пользователей о целесообразности добавления сетевых функций в «Блокнот». По мнению некоторых, простому текстовому редактору не требуется постоянное подключение к интернету. Доступ к сети необходим для корректной работы интеграции Copilot в редакторе. Вопрос о том, нужен ли Copilot в «Блокноте» в принципе, остается предметом отдельного обсуждения.

Полный список изменений и подробности об исправлении доступны на странице Microsoft Security Response Center.