Vulnerabilità critica e compromissione supply chain Notepad++

Identificativi:

• CVE-2025-49144 – Escalation di privilegi con esecuzione di codice arbitrario
• Supply Chain Attack – Compromissione del sistema di aggiornamento da parte di attori nation-state

Gravità: ALTA – CVSS 7.3/10.0

Periodo di compromissione: giugno – dicembre 2025

Di cosa si tratta

Tra giugno e dicembre 2025, il meccanismo di aggiornamento automatico di Notepad++ è stato compromesso da attori sponsorizzati dallo stato cinese (gruppo identificato come Violet Typhoon / APT31). Gli attaccanti hanno ottenuto accesso al server di hosting condiviso che ospitava il sistema di aggiornamento, reindirizzando selettivamente gli utenti verso server malevoli che distribuivano un eseguibile infetto (AutoUpdater.exe) mascherato da aggiornamento legittimo.

Parallelamente, la CVE-2025-49144 consente a un attaccante di sfruttare una vulnerabilità di escalation di privilegi per eseguire codice arbitrario con privilegi elevati sul sistema target.

Sistemi potenzialmente interessati

• Tutte le installazioni di Notepad++ con versione precedente alla v8.8.9
• In particolare, sistemi che hanno utilizzato l’aggiornamento automatico nel periodo giugno–dicembre 2025

Perché è particolarmente grave

• L’attacco è stato condotto da attori nation-state con capacità avanzate e ha portato ad attacchi hands-on keyboardpresso le organizzazioni colpite
• Il targeting era selettivo, con focus su organizzazioni con interessi nell’Asia orientale, in particolare nei settori telecomunicazioni e servizi finanziari
• Notepad++ è uno strumento estremamente diffuso tra sviluppatori, amministratori di sistema e ingegneri DevOps, con centinaia di milioni di installazioni a livello globale
• Il malware distribuito effettuava ricognizione di sistema ed esfiltrazione di dati verso server esterni

Azioni raccomandate

1. Censire tutte le installazioni di Notepad++ presenti nella vostra infrastruttura (postazioni di lavoro e server)
2. Aggiornare immediatamente alla versione v8.9.1 o successiva, scaricandola manualmente dal sito ufficiale (non tramite l’updater automatico delle versioni precedenti)
3. Valutare la disinstallazione completa laddove non strettamente necessario, in conformità con il principio di riduzione della superficie d’attacco
4. Verificare eventuali indicatori di compromissione sui sistemi che hanno utilizzato l’aggiornamento automatico nel periodo interessato (presenza di file AutoUpdater.exe anomali, connessioni verso temp.sh, file denominati a.txtin directory temporanee)
5. Monitorare i log di rete per eventuali connessioni sospette riconducibili all’attività di ricognizione del malware