Windowsメモ帳アプリのリモートコード実行脆弱性 CVE-2026-20841

 (cve.org)
4 ポイント 投稿者 GN⁺ 2026-02-12 | 7件のコメント | WhatsAppで共有
  • Windowsメモ帳アプリでコマンドインジェクション(command injection) 脆弱性が発見され、リモートからコード実行が可能と報告されている
  • 認証されていない攻撃者がネットワーク経由で悪意のあるコマンドを実行できる構造で、ユーザーの操作が必要
  • 脆弱性はWindows Notepad バージョン 11.0.0 から 11.2510 未満のバージョンに影響する
  • CVSS 3.1 基準スコア 8.8（高） と評価されており、機密性・完全性・可用性のすべてに高い影響を与える
  • MicrosoftがCVE-2026-20841として登録しており、セキュリティパッチと勧告文はMSRC(Microsoft Security Response Center) を通じて提供されている

CVE-2026-20841 の概要

  • この脆弱性はWindows Notepad Appで発生したコマンドインジェクション脆弱性(CWE-77) に分類される
    • 特殊文字の不適切な無害化によりコマンドが改変される可能性がある
    • 攻撃者はネットワーク経由でリモートコード実行を行える
  • CNA（公式登録機関） はMicrosoft Corporationで、CVEは2026年2月10日に公開、2月11日に更新された

技術的詳細

  • 脆弱性タイプ: Improper Neutralization of Special Elements used in a Command (‘Command Injection’)
  • 影響範囲: Windows Notepad 11.0.0以上11.2510未満のバージョン
  • CVSS 3.1 評価:
    • スコア: 8.8 (High)
    • ベクター: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
    • ネットワークアクセス可能、低複雑度、ユーザー操作が必要

影響とリスク

  • 攻撃者は認証なしでリモートからコード実行が可能
  • システムの機密性(C)、完全性(I)、可用性(A) のすべてが高いレベルの影響を受ける
  • 脆弱性の基本状態は「affected」と表示されており、影響を受けるバージョンも明記されている

参考資料と対応

  • Microsoftの公式セキュリティ勧告はMSRC Update Guideで提供されている
  • CVEプログラムには当該脆弱性に関する追加情報が含まれており、CISA-ADPが承認済みデータ発行者として明記されている
  • 関連する外部参照としてHacker News 投稿（https://news.ycombinator.com/item?id=46971516） が含まれる

要約

  • CVE-2026-20841はWindowsメモ帳アプリのリモートコード実行脆弱性であり、高い深刻度（8.8点）を持つセキュリティ問題である
  • Microsoftが正式に登録し、パッチ対応を進めており、ユーザーは最新バージョンに更新する必要がある
  • 本脆弱性はコマンドインジェクションによる攻撃可能性を内包しており、ネットワークベースの攻撃にさらされる可能性がある

関連記事

7件のコメント

 
jwh926 2026-02-12

microslop.
 
mammal 2026-02-12

お願いですから、OSやブラウザのような根本的な部分は、クラウド / AI / 連携といったゴミのようなもの抜きで、基本機能だけを提供してほしいです。

ベンダー機能はその上にレイヤーとして提供するだけでも十分でしょうに…
 
GN⁺ 2026-02-12
Hacker Newsの反応

  • 2025年の年次報告書を見ると、Windowsは収益源ランキングで5位で、LinkedInよりも下にある
    もうMicrosoftはWindowsやNotepadに気を配っていないように見える

    • Windowsは彼らのトロイの木馬のような存在だ
    • 報告書では収益が「Productivity and Business Processes」「Intelligent Cloud」「More Personal Computing」の3カテゴリに分かれている。Windowsは3番目のグループの一部にすぎない。なのにどうやって5位だと判断したのか気になる
    • MicrosoftはまもなくWindowsそのものだ。Officeには代替が多く、AIモデルもなく、Githubは不安定で、Azureはひどく、Xboxは終わった。Windowsが死ねば、その上に載っているものもすべて一緒に消えるだろう

  • 問題の核心はリンク処理だ
    CVE-2026-20841によると、攻撃者がMarkdownファイル内の悪意あるリンクをクリックさせると、Notepadが未検証のプロトコルを実行してリモートファイルを読み込めてしまう

    • Notepadがリンクを処理するなんて、まるで鉛筆にインクローディング脆弱性があるようなものだ。昔の「Microsoftが車を作ったら」というジョークが現実になった感じだ（関連リンク）
    • これが本当に大問題なのかよく分からない。クリック可能なリンクをレンダリングするすべてのアプリ、たとえばブラウザやメールクライアントなどでも起こりうる問題ではないか
    • 「unverified protocols」とは何なのか気になる。Windowsにはexe://のようなURLスキームがあって、実行ファイルを直接呼び出せるのだろうか？

  • 以前Windows 98のNotepadを探し出してWindows 11で動かしてみたが、完璧に動作した。テキスト入力、保存、読み込みも全部できる。それ以上何を望むというのか。しかもフォントもノスタルジーを誘う

    • Win9xのNotepadは64KBまでしか開けず、ANSIエンコーディングしかサポートしない。その後のバージョンでLF対応など有用な改善はあったが、Windows 11の追加機能はすべて不要な負荷だ
    • 私はWindows 7からnotepad.exe、calc.exe、mspaint.exeを抜き出してWindows 11で使っている。完璧に動く
    • 「About Notepad」ウィンドウにWindows 11のバージョンが表示されるのは、プログラムがWindows APIを呼び出してシステムバージョンを表示しているからだ
    • 実はWindows 11にも古いnotepad.exeは今も残っている。ただし実行時に新しいアプリへリダイレクトされるだけだ。設定の「App execution aliases」をオフにすれば、昔のNotepadをそのまま使える
    • そのバージョンでCopilot 365向けNotepad Copilotをどう使うのか気になる

  • 数日前にはNotepad++が国家級攻撃者に侵害され、今日はWindows内蔵NotepadにCVEが出た。もうWindowsを完全に消すべきなのかもしれない。サンドボックスもなく、レガシーコードの山だ

    • 技術的に見ればUnix系もレガシーの塊だが、Windowsはただのゴミの山だ
    • Notepad++の件は、中国系攻撃グループがホスティング事業者を侵害したものだ。更新の検証も改善され、scoopのような代替手段もある。攻撃は非常に限定的で、IOCもすでに公開されている
    • 実際の侵害は数日前ではなく数か月前に起きており、数週間続いていた
    • 私はWindows用のgvimをNotepadの代わりに使っている。プラグインなしでも十分だ
    • もう残っているのはマウスアイコンRCEだけだ。そのときが本当の頂点になりそうだ

  • 私たちは今、機能過剰 → 脆弱性というパイプラインの論理的帰結にたどり着いた
    30年間、Notepadは単純なテキストビューアの標準だったのに、今やCVSS 8.8を付けられるのは最小権限の原則の崩壊だ。「この機能を追加できるか？」ではなく、「このテキストエディタにネットワークレンダリングスタックは必要か？」と問うべきだ

    • そこで止まらず、「AIが必要か？」とまで問って、間違った答えを出した
    • もちろん昔のNotepadにも「Bush hid the facts」のような奇妙なバグはあった。当時はUnicodeやエンコーディングが難しい問題で、今は別の戦争をしているだけだ
    • 私も完全に同意する。ネットワークスタックを持つテキストエディタは脆弱性の温床だ。だから私はRustでローカル専用テキストエディタを自作した。ネットワーク権限なし、暗号化保存、FIPS互換のOpenSSLを使用している。FIPSPadで確認できる
    • ただし今回のバグは、ネットワークレンダリングスタックやAIとは関係なさそうだ。MSRCによれば、攻撃者がMarkdownファイル内のリンクをクリックさせ、リモートファイルを実行させる問題だ。たとえば\\evil.example\virus.exeのようなリンクをクリックすると実行される
    • 問題は、Microsoftがネットワークレンダリングスタックを追加したことすら認識していたのか疑わしいことだ

  • 面白いのは、ブラウザはずっと前からプロトコル実行前のユーザー警告を導入していたのに、MicrosoftはNotepadにクリック可能なリンクを追加しながら、それを完全に飛ばしたことだ。機能過剰の問題ではなく、すでに解決済みの問題を再発明して保護策を入れ忘れただけだ

  • 「Markdownファイル内の悪意あるリンクをクリックするとリモートファイルが実行される」と聞いて驚いた。NotepadがMarkdownをレンダリングするとは知らなかった

    • Notepadが別のフォーマットまでレンダリングし始めたら、私がNotepadを使う理由、つまり書式を落とすための道具としての純粋さが失われる。Notepadの魔法は、マーケティングチームの書式設定を無視するその単純さにあった
    • おそらく最近追加された機能だと思う。毎日使っているが、Markdownレンダリングを見たのは先週が初めてだった
    • 「士気が上がるまで苦しみは続く」という言葉を思い出す

  • 昔のようにNotepadがただテキストを表示する道具だった時代が恋しい

    • だから私はNotepad2を使っている。昔のNotepadはLF改行を正しく表示できなかったが、Notepad2は機能が少し多いだけで、今でも軽量でクリーンだ
    • 昔のXP時代はMetapadのような代替のほうが良かった

  • もうWindowsそのものを捨てる時だ

    • 冗談ではなく、今年に入って「Windowsがひどすぎるから」とLinuxへ移る人が急増している。私も去年そうした。何十年も「まあまあ使える」で済ませてきたが、今は「これはもう無理だ」に変わった

  • Notepadの役割はテキスト表示だけだったのに、Microsoftはそこに攻撃面を追加した。
    「Linuxデスクトップの年」が来る必要すらない。Windowsがこの調子なら、それだけで十分だ

    • だが実際には、Mac OSの時代が来そうだ。Mシリーズのチップが低価格帯にまで広がれば、みんなそちらへ移るだろう
 
savvykang 2026-02-12

Windows 11に強制アップグレードされてから、メモ帳の内容がたまに壊れるんだけど、本当にMSは目を覚まさないみたいですね
 
sudosudo 2026-02-12

メモ帳はもういじるのやめて..
 
kayws426 2026-02-12

「Bush hid the facts」みたいなとんでもないバグ、
懐かしいですね。
 
ssolarsystem 2026-02-12

ワードパッドが削除され、ワープロに入れるには微妙な書式付きテキストをMarkdownで扱うようになったことで、こういう事態が起きたのかもしれませんね。設定に行ってAIと書式設定機能を全部オフにするのが、セキュリティ上は良いのではないかと思います。