Πως το Markdown στο Notepad άνοιξε δρόμο για RCE (και τι να κάνετε)

Ικανοποιημένα χαμόγελα απλώνονται σε όλους όσοι αντιτάχθηκαν στη «WordPad-οποίηση» του ταπεινού επεξεργαστή κειμένου της Microsoft.

Μόλις λίγους μήνες αφού η Microsoft πρόσθεσε υποστήριξη Markdown στο Notepad, ερευνητές ανακάλυψαν ότι η λειτουργία μπορεί να καταχραστεί ώστε να επιτευχθεί απομακρυσμένη εκτέλεση κώδικα (RCE).

Η ευπάθεια καταγράφεται ως CVE-2026-20841 (βαθμολογία 8.8) και αντιμετωπίστηκε στις πιο πρόσφατες διορθώσεις του Patch Tuesday από τον κατασκευαστή των Windows.

Γιατί δεν πήρε «το μέγιστο» σε σοβαρότητα

Το κενό δεν αγγίζει τα απόλυτα κορυφαία σκορ σοβαρότητας, καθώς χρειάζεται λίγη κοινωνική μηχανική για να λειτουργήσει. Από εκεί και πέρα, όμως, για τον επιτιθέμενο τα πράγματα γίνονται… αρκετά εύκολα.

Και όταν λέμε «κοινωνική μηχανική», δεν εννοούμε υπερ-εκλεπτυσμένες τεχνικές, όπως η «σκοτεινή τέχνη» που εφαρμόζει η Scattered Spider. Εδώ μιλάμε περισσότερο για το απλό: να ξεγελάσεις κάποιον ώστε να ανοίξει μη αξιόπιστους συνδέσμους.

Το σενάριο επίθεσης: Markdown αρχείο + κακόβουλο link

Υπάρχουν πολλές προστασίες ασφάλειας email για οργανισμούς, ωστόσο το phishing παραμένει ο πιο αποτελεσματικός αρχικός τρόπος πρόσβασης για τους κυβερνοεγκληματίες. Και με το Notepad εγκατεστημένο ως προεπιλογή στους περισσότερους υπολογιστές Windows, αυτό σημαίνει ότι το CVE-2026-20841 θα μπορούσε να επηρεάσει αρκετές συσκευές.

Ο επιτιθέμενος χρειάζεται μόνο να κάνει έναν ανυποψίαστο χρήστη να ανοίξει ένα αρχείο Markdown στο Notepad και να πατήσει σε έναν κακόβουλο σύνδεσμο που βρίσκεται μέσα.

Σύμφωνα με την εξήγηση της Microsoft, ένας hacker μπορεί να εκμεταλλευτεί την ευπάθεια για να εκκινήσει «μη επαληθευμένα πρωτόκολλα», τα οποία φορτώνουν και εκτελούν αρχεία με τα δικαιώματα του χρήστη.

Ο κολοσσός των Windows επιβεβαίωσε επίσης ότι δεν υπάρχουν γνωστές περιπτώσεις εκμετάλλευσης της αδυναμίας «στο πεδίο» (in the wild).

Πως φτάσαμε εδώ: Notepad με Markdown, μετά Notepad με AI

Η Microsoft άρχισε να διαθέτει λειτουργικότητα Markdown στο Notepad τον Μάιο του 2025, στο πλαίσιο μιας ενημέρωσης με «άρωμα WordPad», πριν γίνει γενικά διαθέσιμη (GA).

Η κίνηση δίχασε: ενώ κάποιοι υποδέχθηκαν θετικά τη νέα δυνατότητα, πολλοί θεώρησαν ότι το Notepad έπρεπε να είχε μείνει ως είχε.

Οι επικριτές υποστήριξαν ότι το να γίνει το Notepad πιο κοντά στο WordPad —το οποίο η Microsoft «σκότωσε» το 2024— προδίδει το βασικό DNA της εφαρμογής ως ενός ελαφριού, γρήγορου και λιτού προγράμματος.

Και μετά ήρθε η AI. Τον Σεπτέμβριο, οι Windows Insiders πήραν λειτουργίες συγγραφής, επαναδιατύπωσης και σύνοψης με βοήθεια AI — αρκεί να έτρεχαν σε Copilot+ PC.

Όλα αυτά, συμπεριλαμβανομένης της υποστήριξης Markdown, μπορούν να απενεργοποιηθούν από τις ρυθμίσεις του Notepad, όμως έρχονται ενεργοποιημένα ως προεπιλογή.

Σύνδεση με άλλα πρόσφατα θέματα: Notepad++ και αλυσίδα ενημερώσεων

Παρότι δεν σχετίζεται με τη Microsoft, η γνωστοποίηση του CVE-2026-20841 έρχεται λίγες ημέρες μετά την επιβεβαίωση σοβαρών θεμάτων ασφάλειας από την ομάδα του Notepad++.

Νωρίτερα αυτόν τον μήνα, ανακοίνωσε διορθώσεις και αναβαθμίσεις έκδοσης, αφού κρατικά υποστηριζόμενοι κυβερνοεγκληματίες παραβίασαν την υπηρεσία ενημερώσεών του ήδη από τον Ιούνιο, οδηγώντας σε στοχευμένες επιθέσεις σε οργανισμούς με ενδιαφέροντα στην Ανατολική Ασία.

Γρήγορη εικόνα της ευπάθειας (πίνακας)

Πρακτικές οδηγίες προστασίας

Παρότι η Microsoft αναφέρει ότι δεν υπάρχουν γνωστές επιθέσεις «στον άγριο κόσμο», το συγκεκριμένο σενάριο (άνοιγμα αρχείου + κλικ σε σύνδεσμο) ταιριάζει απόλυτα στον τρόπο που δουλεύει το phishing στην πράξη. Γι’ αυτό αξίζει να το αντιμετωπίσετε σαν ευκαιρία να σκληρύνετε λίγο την καθημερινή σας υγιεινή ασφάλειας, ειδικά σε περιβάλλοντα εταιρικών endpoints.

Τι να κάνει ένας απλός χρήστης (χωρίς να γίνει ειδικός)

• Κάντε Windows Update άμεσα και επανεκκινήστε. Πολλές διορθώσεις ασφαλείας «κάθονται» μέχρι το reboot.
• Μην ανοίγετε .md ή «σημειώσεις έργου» που έρχονται από άγνωστο αποστολέα, ειδικά αν συνοδεύονται από πίεση χρόνου.
• Αν ανοίξετε ένα Markdown αρχείο, αντιμετωπίστε τα links σαν links email: μην κάνετε κλικ αν δεν είστε 100% βέβαιοι για την προέλευση.
• Αν χρησιμοποιείτε Notepad για καθαρό κείμενο, εξετάστε το ενδεχόμενο να απενεργοποιήσετε λειτουργίες που δεν χρειάζεστε (Markdown/AI) από τις ρυθμίσεις.

Τι να κάνει το IT/SEC σε οργανισμό

1. Επιβεβαιώστε το patching: ελέγξτε ότι το KB/ενημέρωση του Patch Tuesday έχει περάσει παντού (και σε laptop εκτός γραφείου).
2. Μειώστε δικαιώματα: δουλέψτε με αρχή least privilege. Η RCE «με δικαιώματα χρήστη» είναι πολύ χειρότερη όταν ο χρήστης είναι τοπικός admin.
3. Ελέγξτε protocol handlers: όπου γίνεται, περιορίστε/επιτηρήστε «μη επαληθευμένα πρωτόκολλα» και ασυνήθιστες κλήσεις από εφαρμογές σημειώσεων.
4. Ενισχύστε anti-phishing: sandboxing συνημμένων, URL rewriting, και policies που «σημαδεύουν» αρχεία από το Internet (Mark of the Web).
5. Application control: πολιτικές όπως WDAC/AppLocker (όπου εφαρμόζονται) μπορούν να μπλοκάρουν ύποπτη εκτέλεση.

Πίνακας προτεραιοτήτων (για να μη χαθείτε)

Το συμπέρασμα είναι απλό: ακόμη και ένα «ταπεινό» εργαλείο όπως το Notepad, όταν αποκτά δυνατότητες που διαχειρίζονται links και μορφοποίηση, μπαίνει αυτόματα σε άλλη κατηγορία κινδύνου. Αν χρειάζεστε Markdown, κρατήστε το ενεργό αλλά πλήρως ενημερωμένο.

Αν δεν το χρειάζεστε, η πιο ασφαλής λειτουργία είναι συχνά αυτή που δεν είναι ενεργή.