Notepad++ revient sur le piratage de son module de mise à jour, désormais sécurisé

Don Ho, principal mainteneur de l'éditeur de texte Notepad++, est revenu lundi sur le piratage survenu au niveau du composant en charge des mises à jour du logiciel, révélé en décembre dernier. Dans un billet de blog en forme de post-mortem, il affirme avoir changé d'hébergeur et mis en place les garanties techniques nécessaires à la prévention de tout nouvel incident.

Le piratage avait été confirmé le 9 décembre dernier, lors de la sortie de Notepad++ v8.8.9. Alerté par des signalements d'utilisateurs, puis par les vérifications opérées par certains experts en cybersécurité, Don Ho avait révélé la compromission du serveur chargé de distribuer les mises à jour du logiciel, via un composant interne baptisé WinGUp. Il expliquait alors :

« L'analyse des rapports a révélé une faille dans la manière dont le programme de mise à jour vérifie l'intégrité et l'authenticité du fichier de mise à jour téléchargé. Si un attaquant parvient à intercepter le trafic réseau entre le client du programme de mise à jour et l'infrastructure de mise à jour de Notepad++, il peut exploiter cette faille pour inciter le programme de mise à jour à télécharger et exécuter un fichier binaire indésirable (au lieu du fichier de mise à jour légitime de Notepad++). »

Dans son nouveau billet, Don Ho révèle que la faille a potentiellement exposé des données d'utilisateurs sur une période allant de juin à décembre 2025. « Selon l'analyse des experts en sécurité, l'attaque a impliqué une compromission de l'infrastructure permettant à des acteurs malveillants d'intercepter et de rediriger le trafic de mise à jour destiné à notepad-plus-plus.org », indique-t-il.

Il publie dans la foulée le message qui lui a été transmis par son ancien hébergeur, dans lequel ce dernier confirme que des événements suspects ont été enregistrés au niveau du fichier notepad-plus-plus.org/update/getDownloadUrl.php. L'hébergeur précise que le serveur en question a fait l'objet d'une mise à jour corrigeant la vulnérabilité exploitée le 2 septembre, mais que les attaquants ont vraisemblablement pu exploiter les accès dont ils disposaient jusqu'au 2 décembre, date à laquelle les services associés à Notepad++ ont été migrés vers un autre environnement.

Les analyses indépendantes pointent vers une attaque orchestrée « par un groupe parrainé par l'État chinois, ce qui expliquerait le ciblage très sélectif observé pendant la campagne », affirme Don Ho, qui présente ses excuses aux utilisateurs concernés. Et assure qu'on ne l'y prendra plus. Outre une migration vers un hébergeur aux pratiques « nettement renforcées », le composant WinGUp vérifie maintenant « à la fois le certificat et la signature du programme d'installation téléchargé » depuis la version 8.8.9 du logiciel.

« De plus, le fichier XML renvoyé par le serveur de mise à jour est désormais signé (XMLDSig), et la vérification du certificat et de la signature sera obligatoire à partir de la prochaine version 8.9.2, attendue dans environ un mois », conclut le développeur. La version 8.9.1 sortie le 26 janvier dernier intègre déjà quelques optimisations sur le volet sécurité.

En 2019, Don Ho s'était attiré les foudres de certains nationalistes chinois, qui avaient notamment spammé son dépôt Github. Ils réagissaient à la publication de la version 7.8.1 du logiciel, baptisée Free Uyghur (libérez les Ouïghours). « Les gens me diront encore une fois de ne pas mélanger la politique avec les logiciels/affaires. Cette décision aura sûrement une incidence sur la popularité de Notepad++ : parler de politique est exactement ce que les éditeurs et les sociétés commerciales essaient généralement d’éviter », écrivait alors le développeur.

• L’ANSSI dévoile son guide des bonnes pratiques de la sécurité informatique