Der Entwickler des beliebten Open-Source-Editors Notepad++ (kurz: Npp) hat die neue Version 8.9.7 mit dem Beinamen „Slava Ukraini“ freigegeben. Die vorherige Version 8.9.6.4 trägt den Namenszusatz „Tiananmen Massacre Commemoration“. Gegenüber dieser Vorversion hat Don Ho einige Bugs beseitigt, ein paar Verbesserungen vorgenommen und nicht zuletzt fünf Sicherheitslücken geschlossen, die Dritte entdeckt und gemeldet wurden.

Die Schwachstelle CVE-2026-54758 entsteht durch die fehlende Prüfung der Länge eines Variablennamens, bevor dieser in einen Puffer fester Länge auf dem Befehlsstapel (stack) kopiert wird. Ein sehr langer Name könnte zu einem Pufferüberlauf führen, bei dem andere Daten überschrieben würden. Solche Fehler führen zumindest zu einem Programmabsturz, im ungünstigen Fall kann eingeschleuster Code ausgeführt werden.

Der in Notepad++ verwendete Plug-in-Installer WinGup prüft nicht, ob beim Entpacken des Installationsarchivs alle Dateien innerhalb des vorgesehenen Verzeichnisses landen (CVE-2026-57233). Ein entsprechend präpariertes Plug-in-Paket könnte dies nutzen, um die DLL (Programmbibliothek) eines bereits installierten Plug-ins zu überschreiben. So könnte eingeschleuster Code im Npp-Prozess ausgeführt werden. Die Sicherheitslücke CVE-2026-52886 kann im Schnappschuss-Modus des Editors ausgenutzt werden, um Dateiinhalte zu exfiltrieren.

▶Die neuesten Sicherheits-Updates

Für die beiden anderen Sicherheitslücken ist noch keine CVE-Nummer zugeteilt. Eine der beiden („Fix shortcuts.xml macro HMAC bypass issue“) kann unter gewissen Umständen genutzt werden, um (Makro-) Befehle mit erhöhten Rechten auszuführen. Die zweite Schwachstelle steckt im NSIS Installer, der Powershell-Befehle generiert, um Einträge im Kontextmenü zu registrieren. Unter Windows 11 könnte ein Angreifer dies unter gewissen Umständen ausnutzen, um Befehle oder Programme ausführen zu lassen.

In Npp verwendete Programmkomponenten sind in Version 8.9.7 auf Scintilla 5.6.4 und Lexilla 5.5.1 aktualisiert, pugixml auf v1.16. Einige Bugs, die zu Programmabstürzen führen können, hat der Npp-Entwickler ebenfalls beseitigt.

Der auf Scintilla basierende Texteditor Notepad++ ist Open Source und bietet weit mehr Funktionen und Möglichkeiten als der Windows-eigene Editor Notepad. Er unterstützt etliche Zeichenkodierungen und Programmiersprachen, etwa durch so genanntes Syntax-Highlighting (farbliche Syntaxhervorhebung). Es gibt zahlreiche von Dritten entwickelte Plug-ins, die den Funktionsumfang noch erweitern, von der Rechtschreibprüfung DSpellCheck bis nppQrCode zur Erzeugung von QR-Codes aus markiertem Text.

Download Notepad++ 8.9.7

Tipp: Unabhängig davon, dass Sie Ihre Programme stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.

Notepad++ hatte in der Vergangenheit Sicherheitsprobleme, die allerdings längst gelost sind: