---
title: Notepad++ 两连更，修复1个多月的安全漏洞，此前更新机制可被黑客用于投毒
date: 2025-12-11T04:22:06Z
modified: 2025-12-11T04:22:50Z
permalink: "https://www.appinn.com/notepad-plusplus-v8-8-9/"
type: post
status: publish
excerpt: ""
categories:
  - 业界消息
tags:
  - 业界消息
  - Notepad++
  - 安全漏洞
featured_image: "https://www.appinn.com/wp-content/uploads/2025/12/Copy-of-appinn-homework-78.jpg"
author: 青小蛙
timestamp: 2025-12-11T04:22:50Z
---

开源文本编辑器 **Notepad++** 接连发布了 v8.8.8/v8.8.9 更新，修复了更新组件 WinGUp 在对下载文件签名和证书校验不够严格的问题。
上月，**Notepad++** 爆出了安全漏洞：在安装了 Notepad++ 的机器上，黑客劫持网络后，利用自动更新机制，自动下载被投毒的恶意可执行文件。

![](https://www.appinn.com/wp-content/uploads/2025/12/Copy-of-appinn-homework-78.jpg)

## Notepad++ 两次安全更新

这件事应该有1个多月了。用户只需要更新至最新的 v8.8.9 即可解决问题。

- **v8.8.8**：修改下载源和 URL 域名，降低被劫持和滥用的可能性。​
- **v8.8.9**：在下载结果上加验签和证书校验，就算路径被劫持了，也能阻止恶意安装包被执行。​

### Notepad++ v8.8.8

2025年11月18日，**Notepad++** 发布了 [v8.8.8](https://notepad-plus-plus.org/news/v888-released/) 版本，开发者说：「过去两周，我与一些安全专家进行了沟通，发现 WinGUp（Notepad++ 使用的自动更新程序）存在潜在的劫持漏洞。该问题已在最新版本中得到解决。」

![](https://www.appinn.com/wp-content/uploads/2025/12/Screen-20251211113702@2x.avif)

### Notepad++ v8.8.9

昨天（2025年12月10日），**Notepad++** 发布了 [v8.8.9](https://notepad-plus-plus.org/news/v889-released/) 版本，再次更新漏洞：

![](https://www.appinn.com/wp-content/uploads/2025/12/Screen-20251211113825@2x.avif)

## 到底发生了什么？

在本月初，Beaumont 发布了一篇《[少数 Notepad++ 用户报告安全问题](https://doublepulsar.com/small-numbers-of-notepad-users-reporting-security-woes-371d7a3fd2d9)》，介绍了一个有趣的事情。

他说他收到了3封来信，他们在安装了 Notepad++ 的机器上发生了安全事件，**怀疑**是 Notepad++ 进程产生的初始访问。并且导致后面的中毒事件。

而在上面提到的 v8.8.8 版本更新中，只修复了一半这个问题。

### 出问题的 WinGUP 是什么？

[WinGUP](https://wingup.org/) 是 Notepad++ 开发者为了自动更新自身，专门写的自动更新程序。是的，他俩是同个开发者。

WinGUP 会读取 xml 配置文件以获取程序的当前版本和 WinGUp 获取更新信息的 URL，检查该 URL（使用给定的当前版本）以获取更新包位置，下载更新包，然后运行相关的更新包（它应该是 msi 或 exe 文件）。

原理大概是这样的：

![](https://www.appinn.com/wp-content/uploads/2025/12/Gemini_Generated_Image_cltfilcltfilcltf.avif)

而此前，由于 WinGUP **不验证 HTTPS 服务器证书和 MSI/EXE 安装包签名**，黑客拦截了流量，并修改了其中的 URL 地址，于是用户电脑自动下载到了恶意软件，并安装。

从 v8.8.8 起，WinGUP 会强制从 github.com 下载，而 v8.8.9 起，增加严格的证书和签名校验，从而避免下载安装包的完整性。

所以，v8.8.9 修复了另一半的问题。

## 最后的建议

由于Notepad++ 拥有大量用户，经常会成为恶意攻击者的目标，如果你使用 Notepad++，建议升级到最新版本。

这里是他的官方 GitHub：

- [https://github.com/notepad-plus-plus/notepad-plus-plus](https://github.com/notepad-plus-plus/notepad-plus-plus)

如果你想寻找替代品，可以参考社区中的一些内容：

- [文本编辑器投票提名](https://meta.appinn.net/t/topic/40421)
- [寻求notepad++的替代品](https://meta.appinn.net/t/topic/25557)

注意上面第二个帖子，年头有点久，但还在开放中，似乎大家并没有一个满意的替代品。

---

原文：https://www.appinn.com/notepad-plusplus-v8-8-9/

## Topics

**分类目录:** [业界消息](https://www.appinn.com/category/it-news/?output_format=md)

**标签:** [Notepad++](https://www.appinn.com/tag/notepad-2/?output_format=md), [安全漏洞](https://www.appinn.com/tag/%e5%ae%89%e5%85%a8%e6%bc%8f%e6%b4%9e/?output_format=md)