Новата версия на Notepad с интегриран ИИ за Windows 11 разкрива сериозна дупка в сигурността, позволяваща отдалечено изпълнение на злонамерен код.
Microsoft попадна под обстрел на критики след разкриването на критична уязвимост в наскоро обновеното приложение Notepad за Windows 11, което вече включва ИИ функции. Проблемът позволява на хакери да компрометират системи чрез изпращане на специално подготвени текстови файлове – единственото действие, необходимо на потребителя, е да кликне върху тях.
Растящи критики към AI-функциите на Microsoft
Изследователи на зловреден софтуер от vx-underground публикуваха в X (бивш Twitter):
„Новият Notepad с ИИ за Windows 11 е със zero-day уязвимост за отдалечено изпълнение на код. Мнение: текстовите редактори нямат нужда от мрежова функционалност.“
Мнозина специалисти и потребители споделят това мнение, обвинявайки Microsoft, че наложила функции без да пита за желанията на потребителите.
Манел Родеро, компютърен инженер от Политехническия университет на Каталуния, коментира:
„Microsoft превръща Notepad в бавно, претоварено приложение, което никой не иска. Искаме просто да отваряме текстови файлове, а не редактор с ИИ и дупки в сигурността.“
Технически подробности за уязвимостта
Според официалното съобщение за сигурност на Microsoft, хакерите могат да подмамят потребителя да отвори Markdown файл с вредоносна връзка, която по подразбиране се отваря от Notepad. Това може да задейства протоколи, които зареждат и изпълняват отдалечени файлове.
Microsoft предупреждава, че един клик е достатъчен за изпълнение на злонамерен код с потребителските права на системата:
„Неправилното неутрализиране на специални елементи, използвани в команди (‘command injection’) в Windows Notepad App, позволява на неоторизиран нападател да изпълни код през мрежата.“
Компанията уточнява, че атаките са с ниска сложност, не изискват допълнителни привилегии, но могат да предоставят достъп до чувствителни данни.
CVE-2026-20841 и актуализации
Уязвимостта е регистрирана като CVE-2026-20841 с рейтинг на сериозност 8.8/10. Microsoft вече пусна пач като част от редовните си месечни актуализации (Patch Tuesday). Заедно с Notepad, са коригирани още шест zero-day уязвимости, активно експлоатирани, както и над 50 други поправки за сигурността на Windows.
