Descripción
Notepad++, al usar el actualizador WinGUp, contiene una vulnerabilidad de descarga de código sin verificación de integridad que podría permitir a un atacante interceptar o redirigir el tráfico de actualización para descargar y ejecutar un instalador controlado por el atacante. Esto podría derivar en la ejecución de código arbitrario con los privilegios del usuario.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de notepad-plus-plus.org notepad-plus-plus.org/news/clarification-security-incident/
- Aviso de community.notepad-plus-plus.org community.notepad-plus-plus.org/topic/27298/notepad-v8-8-9-vulnerabil…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-15556
Ver el texto original en inglés (CISA)
Notepad++ Download of Code Without Integrity Check Vulnerability
Notepad++ when using the WinGUp updater, contains a download of code without integrity check vulnerability that could allow an attacker to intercept or redirect update traffic to download and execute an attacker-controlled installer. This could lead to arbitrary code execution with the privileges of the user.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://notepad-plus-plus.org/news/clarification-security-incident/ ; https://community.notepad-plus-plus.org/topic/27298/notepad-v8-8-9-vulnerability-fix ; https://nvd.nist.gov/vuln/detail/CVE-2025-15556