El editor de texto y código Notepad++ ha publicado un parche de seguridad para corregir fallos en su mecanismo de actualización que fueron aprovechados por un actor de amenazas avanzado ( vinculado con grupos de ciberespionaje de China) para secuestrar actualizaciones legítimas y distribuir malware dirigido a usuarios específicos. Este incidente forma parte de una compromiso de la cadena de suministro que afectó a las versiones anteriores del software, posibilitando la entrega de un backdoor denominado Chrysalis.
Análisis
La vulnerabilidad se encontraba en el proceso de actualización automática de Notepad++, donde la falta de mecanismos robustos de verificación permitía que las actualizaciones fueran interceptadas y redirigidas hacia servidores controlados por atacantes. Esto posibilitó que se sirvieran instaladores maliciosos en lugar de versiones legítimas.
La sofisticación del ataque indica un compromiso de infraestructura a nivel de proveedor de hosting, no explotación directa de una falla en el código fuente de Notepad++. Entre junio y diciembre de 2025, los actores consiguieron redirigir parte del tráfico de actualización para ciertos usuarios, entregando un backdoor sin documentar llamado Chrysalis, capaz de ejecución remota de código y otras capacidades maliciosas.
Recursos afectados
-
- Notepad++: versiones anteriores a la 8.8.9 con actualizador WinGUp si no aplica verificaciones robustas.
- Versiones sin el mecanismo de verificación de firma completo (antes de 8.9.2) están potencialmente en riesgo de haber sido blanco de actualización maliciosa durante el periodo de compromiso.
Recomendaciones
-
-
- Actualizar inmediatamente todas las instalaciones de Notepad++ a la versión 8.9.2 o superior.
-
Referencias
-
- https://thehackernews.com/2026/02/notepad-fixes-hijacked-update-mechanism.html
Por último, te invitamos a compartir este boletín con tus allegados para fomentar y difundir una Cultura de la Ciberseguridad y buenas prácticas en el uso de las nuevas tecnologías.
Si tienes alguna inquietud sobre ciberseguridad o necesidad de formación en esta área, visita nuestras webs. Encontrarás consejos, cursos online, informes y mucho más contenido: https://www.csirtcv.gva.es/ y https://concienciat.gva.es/ y síguenos en nuestras redes sociales: Facebook (CSIRT-CV), X (@CSIRTCV) y ) i YouTube (@csirt-cv6271)