JVNDB-2026-021537

notepad-plus-plusのnotepad++におけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

Notepad++は無料でオープンソースのソースコードエディタです。バージョン8.9.6.4以前では、NppCommands.cppはユーザーコマンド実行時（チェック時点）にディスク上のshortcuts.xmlのHMACを確認します。しかし、コマンドのペイロードはアプリケーション起動時に読み込まれ、その後はディスク上のファイルと再同期されないメモリ内の_userCommandsベクターから取得されます（使用時点）。起動とコマンド実行の間にshortcuts.xmlを差し替えると、HMACチェックはクリーンなファイルを検証しつつ、悪意のあるコマンドを実行します。shortcuts.xmlへの書き込み権限を持つ攻撃者は、起動前に悪意あるバージョンをディスクに置き、その直後に正規のファイルに戻すことが可能です。実行時のHMACチェックは正規のファイルを検証するためチェックに合格しますが、悪意あるペイロードはメモリから実行されます。この脆弱性はバージョン8.9.6.4で修正されました。

notepad-plus-plus

• notepad++ 8.9.6.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : TOCTOU: HMAC Checks Disk, Executes from Memory  Advisory  notepad-plus-plus/notepad-plus-plus  GitHub

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]

1. CVE-2026-52885

1. National Vulnerability Database (NVD) : CVE-2026-52885
2. 関連文書 : Fix TOCTOU (Time-of-check to time-of-use) of HMAC implementation  notepad-plus-plus/notepad-plus-plus@4f7563c  GitHub

• [2026年06月30日]
    掲載