Notepad++ Notepad++ の脆弱性（CVE-2025-15556）

何が起きた

テキストエディタ Notepad++ の更新プログラム WinGUp が、ダウンロードした更新の情報やインストーラーが本物かどうかを、暗号の仕組みで確かめていない弱点が見つかりました。更新の通信を横取りしたり、別の場所へ振り向けたりできる攻撃者は、自分の用意したインストーラーをダウンロードして実行させ、利用者の権限で任意の（好きに選べる）コードを実行できるおそれがあります。実際の悪用も確認されています。Notepad++ の作者の説明では、ホスティング業者の段階で侵害があり、特定の利用者の更新の通信だけが、攻撃者の用意した偽の更新情報へ振り向けられていました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

影響を受けるのは、8.8.9 より前の Notepad++ で、WinGUp による更新を使っている人です。

何をすればいい

修正版は 8.8.9 で、WinGUp がインストーラーの証明書と署名を確かめるようになりました。Notepad++ の作者は、8.9.1 をダウンロードし、手動でインストーラーを実行して更新することを勧めています。Notepad++ の公式の案内を確認し、8.9.1 以降に更新されているか確かめてください。

やることチェックリスト

• Notepad++ を 8.9.1 以降に更新する
• 更新は手動でインストーラーを実行する
• 8.8.9 より前の版を使わないようにする

用語メモ

WinGUp

Notepad++ に付いている、新しい版を自動で調べてダウンロードする更新プログラムです。

インストーラー

ソフトウェアをパソコンに組み込むために実行するプログラムです。

署名

ファイルが本物の作者から届き、途中で書き換えられていないことを確かめるための電子的な印です。