Notepad ב-Windows 11: קישור Markdown הריץ קוד בלי אזהרה, ו-Microsoft סגרה פרצה
ב-Patch Tuesday של 10 בפברואר 2026 סגרה Microsoft את CVE-2026-20841 ב-Notepad של Windows 11. מסמך Markdown זדוני יכול היה להריץ קוד אחרי קליק על קישור.
TL;DR בקצרה
- CVE-2026-20841 היא חולשת הזרקת פקודות ב-Notepad של Windows 11, שקשורה לתמיכה ב-Markdown שנוספה ב-2025.
- מסמך Markdown זדוני עם קישור יכול היה להריץ קוד בהרשאות המשתמש, אחרי Ctrl+קליק ובלי אזהרת אבטחה.
- Microsoft סגרה את החולשה ב-10 בפברואר 2026. עכשיו Notepad מזהיר לפני קישורים שאינם http או https.
- קוד הוכחה פומבי קיים ב-GitHub, ולפי Help Net Security לא דווח על ניצול בשטח.
Microsoft סגרה ב-10 בפברואר 2026 את CVE-2026-20841, חולשה ב-Notepad של Windows 11. היא אפשרה להריץ קוד דרך קישור במסמך Markdown. הקורבן לא צריך לעשות שום דבר מסובך. מספיק לפתוח את המסמך ולהחזיק Ctrl בזמן קליק על קישור.
את החולשה דיווחו החוקרים Cristian Papa, Alasdair Gorniak ו-Chen. קוד הוכחה פומבי מופיע ב-GitHub בחשבון של BTtea. לפי BleepingComputer, חוקרים הראו במהירות כמה קל לנצל אותה.
CVE-2026-20841: איך קישור ב-Notepad מריץ קוד
Notepad קיבל ב-2025 תמיכה בעיבוד ובעריכה של Markdown, ולכן הוא יודע להציג קישורים כלחיצים. לפי Help Net Security, הוא לא הגביל מספיק את הטיפול בסוגי קישורים מסוימים. הוא גם לא הזהיר את המשתמש.
תוקף יכול לבנות מסמך Markdown עם קישור לנתיב file:// או לפרוטוקול מיוחד כמו ms-appinstaller://. אחרי Ctrl+קליק היעד רץ בלי אזהרת אבטחה של Windows. לפי BleepingComputer, הקישור יכול להצביע גם על שיתוף SMB ברשת.
לפי Microsoft, תוקף יכול לשכנע משתמש ללחוץ על קישור זדוני במסמך Markdown שנפתח ב-Notepad. האפליקציה מפעילה אז פרוטוקולים לא מאומתים, והם טוענים ומריצים קבצים מהרשת. הקוד רץ בהקשר האבטחה של המשתמש שפתח את המסמך.
כלומר, תוקף לא מקבל מיד שליטה מלאה במחשב. הוא מקבל את ההרשאות של המשתמש. עבור מי שעובד כמנהל, זה עדיין הרבה.
מה Microsoft שינתה, ולמה זה לא פתרון מלא
Microsoft לא חסמה את הקישורים החריגים. במקום זה Notepad מציג עכשיו חלון אזהרה לפני פתיחת קישור שאינו מסוג http או https. לפי BleepingComputer, האזהרה חלה על סוגים כמו file ו-mailto, וגם על ms-settings, ms-appinstaller ו-ms-search.
המשתמש עדיין יכול ללחוץ על כן. לכן Help Net Security מציין שתוקף עלול לעקוף את האזהרה בהנדסה חברתית. BleepingComputer שואל למה לא חסמו את הקישורים החריגים לגמרי.
לפי Help Net Security, בזמן הפרסום לא דווח על ניצול בשטח. גם Mishcon מציינת בסיכום שלה שלפי Microsoft לא ידוע על ניצול בשטח. עדיין, קיומו של קוד הוכחה פומבי מקצר את הדרך לתוקפים.
CVE-2026-20841 ב-Notepad: מי צריך לבדוק עדכון
Notepad מתעדכן דרך Microsoft Store. אם עדכונים אוטומטיים פעילים, התיקון מגיע בלי פעולה. הבעיה היא שהמקורות לא מסכימים איזו גרסה חשופה. BleepingComputer מציין שגרסה 11.2510 ומטה חשופות. Help Net Security ו-Mishcon כותבות שהחשופות הן גרסאות לפני 11.2510.
בגלל ההבדל, אל תסתמכו על המספר. ודאו ש-Notepad התעדכן ב-Store אחרי 10 בפברואר, ושעדכוני Patch Tuesday של פברואר מותקנים.
מה זה אומר עבורכם
- עדכנו את Notepad: פתחו את Microsoft Store, בדקו עדכונים לאפליקציות והתקינו את הגרסה החדשה.
- אל תלחצו על קישורים במסמך Markdown לא מוכר: אם מופיעה אזהרה על קישור שאינו מסוג http או https, בחרו לא.
- בארגון, בדקו את כל המחשבים: ודאו שעדכוני פברואר מותקנים, ושעדכוני Store לא חסומים. לפי Mishcon, כדאי גם להגביל פתיחה אוטומטית של פרוטוקולים חריגים ממסמכים.
- הזהירו עובדים: מסמך Markdown שמגיע במייל הוא כבר לא טקסט תמים. הוא דורש אותה זהירות כמו מסמך Office.
- הפחיתו הרשאות: משתמש יומיומי בלי הרשאות ניהול מגביל את הנזק של קוד שרץ בהרשאותיו.
מה הלאה
Microsoft לא פרסמה גרסה שמונעת את הקישורים החריגים לגמרי. אפשר לצפות שהחוקרים ימשיכו לבדוק את Notepad ואת יכולות העיבוד החדשות שלו.
לכן כדאי להשאיר עדכוני Store פעילים. אפליקציה קטנה כמו Notepad השתנתה, ועימה גם משטח התקיפה.
מקורות והרחבה
- Windows 11 Notepad flaw let files execute silently via Markdown linksBleepingComputer
- Windows Notepad Markdown feature opens door to RCE (CVE-2026-20841)Help Net Security
- Windows 11 Notepad update addresses Markdown link issueMishcon
- February 2026 Security UpdatesMSRC
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
