Microsoft Notepad: Kritische Sicherheitslücke in Markdown-Funktion

Eine schwerwiegende Schwachstelle in der modernen Notepad-App erlaubte die Ausführung von Schadcode über manipulierte Markdown-Dateien. Microsoft hat den Fehler mit einer Store-Aktualisierung behoben.

Eine schwere Sicherheitslücke im modernen Windows Notepad erlaubt Angreifern die Fernausführung von Schadcode. Microsoft hat den Fehler mit einer Dringlichkeitsaktualisierung geschlossen.

Das als CVE-2026-20841 gekennzeichnete Problem betrifft die Markdown-Anzeige in der über den Microsoft Store verteilten Notepad-Version. Angreifer könnten über speziell präparierte .md-Dateien die Kontrolle über ein System erlangen. Die Schwachstelle erreicht auf der CVSS-Skala die kritische Bewertung von 8,8 von 10 Punkten.

So funktioniert die gefährliche Lücke

Der Fehler ist eine Folge der Modernisierung von Notepad. Die seit Windows 11 eingeführte Funktion, Markdown-Dateien nicht nur anzuzeigen, sondern auch interaktiv zu verarbeiten, schuf eine neue Angriffsfläche.

Konkret handelt es sich um eine Befehlsinjektion (CWE-77). Ein in einer Markdown-Datei eingebetteter, manipulierter Hyperlink wird von einer anfälligen Notepad-Version nicht ausreichend geprüft. Klickt ein Nutzer diesen Link, kann die Anwendung ungeprüfte Protokolle ausführen – ohne die üblichen Sicherheitswarnungen. Die Attacke setzt Nutzerinteraktion voraus, die typischerweise durch Phishing-E-Mails mit bösartigen Anhängen erzielt wird.

Welche Systeme sind betroffen?

Betroffen ist ausschließlich die moderne Notepad-App aus dem Microsoft Store, nicht das klassische notepad.exe, das seit Jahrzehnten zu Windows gehört. Alle Versionen vor 11.2510 sind anfällig.

Die potenziellen Folgen sind gravierend: Gelingt die Ausführung, erlangt der Angreifer die gleichen Rechte wie der angemeldete Nutzer. Bei Standardkonten droht die Installation von Malware und Datendiebstahl. Bei Administratorrechten könnte das gesamte System übernommen werden. Microsoft betont, dass es zum Zeitpunkt des Patches keine Hinweise auf aktive Angriffe gab.

So schützen Sie sich: Der Patch kommt aus dem Store

Microsoft hat die Lücke mit Version 11.2510 geschlossen. Entscheidend: Das Update wird ausschließlich über den Microsoft Store bereitgestellt, nicht über Windows Update.

Systeme mit aktivierten automatischen Store-Updates erhalten den Patch automatisch. In Unternehmen oder bei deaktivierten Updates muss Notepad manuell aktualisiert werden. Die Absicherung erfolgt durch eine Warnmeldung, wenn ein Link ein anderes Protokoll als http:// oder https:// verwendet.

Anzeige

Diese Sicherheitslücke zeigt, wie schnell vertraute Tools zum Einfallstor werden. Das kostenlose E‑Book „Cyber Security Awareness Trends“ erklärt kompakt und praxisnah, wie Sie Phishing-Angriffe erkennen, Patch‑Management verbessern und Mitarbeiter effektiv sensibilisieren — damit solche Angriffe erst gar keinen Erfolg haben. Jetzt gratis E‑Book herunterladen

Vertraute Tools als Risikofaktor

Der Vorfall zeigt ein grundsätzliches Dilemma: Jede Funktionserweiterung erhöht die Komplexität und Angriffsfläche. Notepads jahrzehntelange Sicherheit lag in seiner Einfachheit. Die Transformation zum Inhalts-Renderer mit interaktiven Links hat diese Vertrauensgrenze verschoben.

Dies ist Teil eines Trends: Angreifer zielen zunehmend auf vertraute Entwickler- und Produktivitätstools. Die Annahme, dass eine einfache Textdatei keine Code-Ausführung ermöglicht, gilt in modernen Anwendungen nicht mehr. Sicherheitsexperten fordern einen Zero-Trust-Ansatz selbst bei Basisanwendungen.

Was Nutzer und Unternehmen jetzt tun müssen

Die Sicherheitslücke unterstreicht, dass Patch-Management über das Betriebssystem hinaus gehen muss. Zentrale Empfehlungen:

• Automatische Updates aktivieren: Nutzer sollten automatische Updates für Microsoft-Store-Apps einschalten.
• Anwendungsversionen prüfen: IT-Teams müssen Prozesse etablieren, um Versionen von Apps außerhalb klassischer Update-Kanäle zu überwachen.
• Nutzersensibilisierung fortsetzen: Die Gefahr durch unerwünschte Anhänge und unbekannte Links – selbst in harmlos wirkenden Dateitypen – bleibt akut.

CVE-2026-20841 beweist: Keine Anwendung ist zu simpel für Sicherheitsbewertungen. Mit fortschreitender Software-Entwicklung müssen Sicherheitspraktiken eine immer komplexer vernetzte digitale Landschaft abdecken.

@ boerse-global.de