- In der Windows-Notepad-App wurde eine Command-Injection-Schwachstelle entdeckt, durch die Berichten zufolge die Ausführung von Code aus der Ferne möglich ist
- Nicht authentifizierte Angreifer können über das Netzwerk bösartige Befehle ausführen; eine Benutzerinteraktion ist erforderlich
- Die Schwachstelle betrifft Windows Notepad von Version 11.0.0 bis vor Version 11.2510
- Sie wurde mit CVSS 3.1, Score 8.8 (hoch) bewertet und hat hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit
- Microsoft hat sie als CVE-2026-20841 registriert; Security-Patch und Empfehlung werden über das MSRC (Microsoft Security Response Center) bereitgestellt
Überblick über CVE-2026-20841
- Diese Schwachstelle wird als Command-Injection-Schwachstelle (CWE-77) in der Windows Notepad App eingestuft
- Durch eine unzureichende Neutralisierung von Sonderzeichen können Befehle manipuliert werden
- Angreifer können über das Netzwerk Remote Code Execution durchführen
- CNA (offizielle Registrierungsstelle) ist die Microsoft Corporation; die CVE wurde am 10. Februar 2026 veröffentlicht und am 11. Februar aktualisiert
Technische Details
- Schwachstellentyp: Improper Neutralization of Special Elements used in a Command (‘Command Injection’)
- Betroffener Bereich: Windows Notepad Version 11.0.0 und höher bis unter 11.2510
- CVSS-3.1-Bewertung:
- Score: 8.8 (High)
- Vektor: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
- Netzwerkzugriff möglich, geringe Komplexität, Benutzerinteraktion erforderlich
Auswirkungen und Risiko
- Angreifer können ohne Authentifizierung aus der Ferne Code ausführen
- Vertraulichkeit (C), Integrität (I) und Verfügbarkeit (A) des Systems sind jeweils in hohem Maß betroffen
- Der Basisstatus der Schwachstelle ist als „affected“ gekennzeichnet, und die betroffenen Versionen sind angegeben
Referenzen und Maßnahmen
- Microsofts offizielle Sicherheitsempfehlung ist im MSRC Update Guide verfügbar
- Das CVE-Programm enthält zusätzliche Informationen zu dieser Schwachstelle; CISA-ADP ist als autorisierter Datenherausgeber aufgeführt
- Als externer Verweis ist ein Hacker-News-Beitrag (https://news.ycombinator.com/item?id=46971516) enthalten
Zusammenfassung
- CVE-2026-20841 ist eine Remote-Code-Execution-Schwachstelle in der Windows-Notepad-App und ein Sicherheitsproblem mit hoher Schwere (Score 8.8)
- Microsoft hat sie offiziell registriert und arbeitet an Patches; Nutzer sollten auf die neueste Version aktualisieren
- Die Schwachstelle eröffnet die Möglichkeit von Angriffen über Command Injection und kann netzwerkbasierten Angriffen ausgesetzt sein
Noch keine Kommentare.