Tra giugno e dicembre 2025 l’infrastruttura di aggiornamento di Notepad++ è stata compromessa da utenti di probabile provenienza cinese. L’attacco, avvenuto presso il provider di hosting adottato in precedenza dal progetto, ha determinato il reindirizzamento del traffico di aggiornamento verso server di terze parti con l’obiettivo di distribuire file malevoli a un gruppo selezionato di utenti.
I dettagli dell’attacco contro Notepad++
Gli attaccanti hanno sfruttato alcune vulnerabilità nel sistema di aggiornamento automatico manipolando il file getDownloadUrl.php per fornire collegamenti a versioni infette del software. L’attacco è stato possibile grazie ad un accesso al provider di hosting che ha mantenuto le credenziali dei servizi interni fino a dicembre 2025 permettendo che il traffico fosse intercettabile anche dopo la perdita dell’accesso diretto ai server.
L’operazione non mirava però a scatenare un’infezione di massa ma a coinvolgere un numero ristretto di target. Si tratterebbe quindi di una strategia coerentemente con le tattiche tipiche delle campagne di cyberspionaggio. Gli utenti che hanno eseguito aggiornamenti nel periodo compreso tra giugno e dicembre potrebbero aver installato però delle versioni compromesse del programma.
Cosa fare per mettere al sicuro il proprio sistema
Notepad++ ha abbandonato il precedente ambiente di hosting condiviso e effettuato una migrazione verso un’infrastruttura più sicura e controllata. Tutte le credenziali, inclusi gli accessi SSH, FTP e ai database MySQL, sono state rigenerate.
Con il rilascio della versione 8.8.9 l’applicazione ha introdotto i primi miglioramenti al componente WinGup responsabile della gestione degli update. La release 8.9.2, prevista entro un mese, implementerà la verifica obbligatoria delle firme XMLDSig per impedire la modifica o il reindirizzamento non autorizzato delle risposte del server di aggiornamento.
Gli utenti, da parte loro, dovrebbero invece:
- aggiornare immediatamente la propria installazione a Notepad++ 8.8.9 o a versioni successive;
- reimpostare le credenziali associate ai servizi del vecchio hosting;
- evitare l’uso di eseguibili scaricati durante il periodo compromesso.
Per restare sempre aggiornato seguici su Google News!
