Am 16. Februar 2026 wurde die Version Notepad++ v8.9.2 veröffentlicht – ein Update, das weniger durch neue Features als durch tiefgreifende Sicherheitsverbesserungen auffällt. Zwar ist Notepad++ seit vielen Jahren in Entwickler- und Admin-Kreisen als leichter, performanter, quelloffener Text- und Quellcode-Editor etabliert, aber die jüngsten Ereignisse haben gezeigt, wie kritisch selbst ein scheinbar „unverdächtiges“ Tool sein kann, wenn es um Software-Updates und Lieferkettensicherheit geht.

Hintergrund: Update-Mechanismus als Angriffsvektor

In der zweiten Hälfte des Jahres 2025 wurde bekannt, dass die Update-Infrastruktur von Notepad++ kompromittiert wurde. Diese Schwachstelle betraf nicht den Editor selbst, sondern vor allem das automatische Update-Modul WinGUp und die Art und Weise, wie Update-Metadaten und Installationsdateien verifiziert wurden. Angreifer konnten über eine kompromittierte Hosting-Plattform legitime Update-Anfragen auf manipulierte Server umleiten und so Malware als scheinbar „offizielle“ Notepad++-Updates ausliefern.

Dieses Szenario ist ein exemplarisches Beispiel für eine Supply-Chain-Attacke, bei der nicht die Anwendung selbst, sondern ihre Verteilung kompromittiert wird – ein zunehmend beobachteter Angriffsvektor in der IT-Sicherheit.

Neuerung in Version 8.9.2: Zweistufige Absicherung durch „Double-Lock“ Update-Verifikation

Die zentrale Neuerung von v8.9.2 ist ein sogenanntes „Double-Lock“ Sicherheitsmodell für das Update-System. Dieses umfasst nun zwei unabhängige kryptografische Prüfmechanismen, die zusammen die Integrität und Authentizität jedes Updates sicherstellen:

• Signaturprüfung der Update-XML (XMLDSig):
  Der vom Update-Server gelieferte XML-Metadatensatz wird jetzt digital signiert und vor Aktualisierungen von Notepad++ geprüft. Dadurch wird ausgeschlossen, dass manipulierte Update-Manifestdateien akzeptiert werden.
• Signaturprüfung der Installer-Binärdatei:
  Bereits in früheren Versionen (8.8.9) eingeführt, wird zusätzlich die digitale Signatur der heruntergeladenen Installer-Datei geprüft, bevor sie ausgeführt wird, und schützt so vor verfälschten Binärdateien.

Diese doppelte Verifikation arbeitet als „Doppelsicherung“, die angreifbare Bestandteile der Lieferkette gezielt größtmöglich isoliert – ein Modell, das weit über klassische Update-Prüfungen hinausgeht.

Hier eine detaillierte technische Zusammenfassung der wichtigsten Änderungen in Notepad++ v8.9.2, speziell aus der Perspektive von Entwicklern und technischen Teams:

Technische Änderungen in Notepad++ Version 8.9.2 im Detail

Notepad++ v8.9.2 ist primär ein Sicherheits‑Release, das kritische Verbesserungen in der Update‑Infrastruktur und -Verifikation bringt. Für Entwickler und Systemadministratoren, die Notepad++ in professionellen und sicheren Umgebungen einsetzen, ist es wichtig, die genauen Details der Änderungen zu verstehen.

1. Sicherheitsmodifikationen: Signierte Update-XML und Installer

Signierung der Update-XML (XMLDSig)

Ab Version v8.9.2 wird die Update‑XML (die Datei, die Informationen über das Update und dessen URL enthält) jetzt mit einer digitalen Signatur versehen. Der Update‑Mechanismus prüft vor der Installation eines Updates, ob die XML-Datei manipuliert wurde. Dies stellt sicher, dass die Metadaten des Updates authentisch sind und nicht von einem Angreifer verändert wurden. Das ist besonders wichtig, um sicherzustellen, dass keine manipulierten Update-Quellen oder schadhafter Code in das System gelangt.

• Technische Details:
  • Signatur: X.509 Zertifikat
  • Validierung: SHA256 (Hashing und digitale Signaturvalidierung)
  • Protokoll: XML Signature (XMLDSig)

Signierung des Installers

Neben der XML-Datei wird auch die Installationsdatei selbst vor der Ausführung geprüft. Das bedeutet, dass die heruntergeladene Datei mit einer digitalen Signatur verifiziert wird, um sicherzustellen, dass der Installationsprozess keine verfälschten Binärdateien ausführt.

• Ziel: Verhindern von Man-in-the-Middle (MITM) Angriffen, bei denen die Installationsdatei durch Dritte verändert wird.
• Protokoll: SHA256-Signaturprüfung

2. WinGUp – Sicherheitsverbesserungen

Die WinGUp (Windows Graphical Updater) Komponente von Notepad++ wurde ebenfalls verbessert. Besonders hervorzuheben sind die Entfernung unsicherer cURL-Optionen, die als potenzielle Angriffsflächen dienten.

Hardening der cURL-Bibliothek

Die cURL-Optionen im Zusammenhang mit der Kommunikation mit Update-Servern wurden so angepasst, dass unsichere Optionen (wie zum Beispiel die ungesicherte Kommunikation über HTTP statt HTTPS) nun deaktiviert sind. Dies schützt vor Angreifern, die über nicht gesicherte Verbindungen Inhalte einschleusen könnten.

Vermeidung von DLL-Side-Loading

Ein weiteres Hardening besteht darin, die dynamische libcurl.dll-Abhängigkeit zu entfernen, um DLL‑Side-Loading‑Angriffe zu verhindern. In früheren Versionen war es möglich, manipulierte DLLs zu laden, die während des Update-Vorgangs ausgetauscht wurden. Dieser Angriff vektor ist nun gesperrt.

• Technische Umsetzung:
  • cURL-Optionen: Nur gesicherte HTTPS-Verbindungen werden zugelassen
  • DLL Hardening: Statisches Binden an libcurl (anstatt dynamisches Laden von DLLs zur Laufzeit)

3. Sicherheitslücke in der WinGUp-Pfadstruktur (CVE-2026-25926)

Es wurde ein Sicherheitsproblem behoben, das dazu führte, dass Notepad++ anfällig war, wenn das Update-Modul nach unsicheren Pfaden suchte. Durch diese unsicheren Pfade konnte es zu einer Code‑Ausführung durch unsichere System­variablen kommen, was eine Angriffsfläche eröffnete.

• Behebung: Die Update‑Routinen prüfen nun strikt auf vertrauenswürdige Pfade und verhindern den Zugriff auf potenziell schadhafte Dateien.

4. Verbesserte Plugin-Verwaltung

Neben den sicherheitsrelevanten Änderungen in Bezug auf Updates hat Notepad++ v8.9.2 auch Änderungen im Umgang mit Plugins implementiert:

• Signierte Plugins: Nur signierte Plugins werden jetzt von Notepad++ akzeptiert. Dies verhindert, dass nicht vertrauenswürdige oder potenziell gefährliche Plugins installiert werden.
• Hintergrund: Diese Änderung folgt der allgemeinen Sicherheitspraxis, bei der die Integrität und Authentizität von Drittanbieter‑Code (wie Plugins) validiert wird, bevor er in das System integriert wird.
• Technische Details: Die Plugins müssen nun mit einem gültigen Zertifikat signiert sein, das von Notepad++ überprüft wird, bevor sie in die Umgebung geladen werden.

5. Stabilitätsverbesserungen und Bugfixes

Neben den sicherheitskritischen Änderungen enthält Notepad++ v8.9.2 auch zahlreiche Bugfixes und kleinere Verbesserungen in Bezug auf die allgemeine Stabilität:

• Fix für Startverzögerungen auf langsamen Systemen
• Optimierungen bei der Verwendung von Multi-Threading
• Fehlerbehebungen bei der Farbdarstellung in Dark Mode
• Protokolle und Ausgabeverbesserungen: Die Protokollierung von Fehlern und Prozessen wurde überarbeitet, was die Analyse von Installationsproblemen und Update-Fehlern vereinfacht. Das ist insbesondere für größere IT‑Teams und DevOps‑Umgebungen wichtig, die automatisierte Prozesse zur Verteilung von Updates verwenden.

Warum dieses Update für Entwickler entscheidend ist

Für Entwickler und Systemadministratoren stellt Notepad++ v8.9.2 ein unverzichtbares Update dar, da es nicht nur die Lieferkettensicherheit des Updatesystems verstärkt, sondern auch signifikante Verbesserungen in der Plugin-Verwaltung und der Systemintegrität bietet. Da viele Unternehmen Notepad++ als Editor in ihre Entwicklungs- und CI/CD-Pipelines integriert haben, sind diese Sicherheitsfunktionen besonders relevant, um sowohl sicherheitskritische Exploits zu verhindern als auch die Systemstabilität zu maximieren.

1. Schutz vor realen Bedrohungen

Die Sicherheitsverbesserungen sind keine theoretischen Features – sie sind eine direkte Antwort auf einen realen Angriff mit signifikanten Risiken für Software-Integrität und System-Sicherheit. Entwickler, Administratoren und IT-Teams verlassen sich oft darauf, dass Tools wie Notepad++ „sicher bleiben“. Doch genau in diesem Vertrauen liegt das Risiko: Ein kompromittierter Update-Mechanismus kann weitreichende Konsequenzen haben, von der nachträglichen Code-Ausführung bis hin zu großflächigen Systemkompromittierungen.

2. Must-Have für produktive Umgebungen

In professionellen Umgebungen, in denen Software-Compliance, Audit-Trails, Sicherheitsrichtlinien und Software-Integrity-Checks gefragt sind, ist ein solcher Schutz unverzichtbar. Teams, die DevOps-Workflows, CI/CD-Pipelines oder automatisierte Deployments betreiben, sollten die neueste Version installieren, um potenzielle Schwachstellen entlang des Toolchains zu minimieren.

3. Vorbild für sichere Update-Architekturen

Das „Double-Lock“-Modell bietet auch eine Blaupause für andere Projekte: Es zeigt, wie Open-Source-Software die Zuverlässigkeit von Updates verbessern kann – nicht nur durch einfache Signaturen, sondern durch mehrstufige, kryptografisch abgesicherte Verifikationen.

Notepad++ v8.9.2 released: Double‑Lock update Security ist mehr als ein reguläres Punkt-Release: Es ist ein strategisches Sicherheits-Update, das auf eine direkte, ernstzunehmende Bedrohung reagiert. Für Fachleute in der Softwareentwicklung, IT-Sicherheit und Systemadministration macht diese Version den entscheidenden Unterschied zwischen einer potenziell angreifbaren und einer deutlich gehärteten Code-Editor-Installation. Die Kombination aus signierter Update-XML, installationsbinärer Verifikation, Updater-Hardening und sicherheitsrelevanten Bugfixes stellt einen pragmatischen, modernen Ansatz zur Sicherung von Open-Source-Toolchains dar.

Für all jene, die auf Notepad++ setzen, ist dieses Update ein Muss, um das Risiko von Supply-Chain-Attacken zu minimieren und sicherzustellen, dass ihre Arbeitsumgebungen sicher bleiben.