Coder dans l’ombre : le programme de mise à jour de Notepad++ expose des millions d’utilisateurs à des attaques furtives

Tout a commencé comme un simple utilitaire - Notepad++ - auquel les développeurs, les professionnels de l’informatique et les utilisateurs ordinaires faisaient confiance depuis des années. Mais cette semaine, le modeste éditeur de texte s’est retrouvé au cœur d’une tempête de cybersécurité. Une vulnérabilité récemment mise en lumière pourrait transformer les mises à jour logicielles de routine en terrain de jeu pour les pirates, leur permettant de prendre le contrôle des ordinateurs du monde entier en toute discrétion. L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a tiré la sonnette d’alarme : votre prochaine mise à jour de Notepad++ pourrait bien être un loup déguisé en agneau.

Derrière la brèche

La faille, classée comme CWE-494, révèle une faiblesse fondamentale : le programme de mise à jour de Notepad++ télécharge du code sans vérifier son intégrité. Imaginez accepter un colis à votre porte - sans poser de questions, sans vérifier d’identité - vous vous exposez alors à recevoir un cheval de Troie.

Plus précisément, la vulnérabilité réside dans WinGUp, le composant chargé de récupérer et d’installer les mises à jour. Si des attaquants parviennent à intercepter la connexion - en utilisant des techniques comme l’empoisonnement DNS ou des attaques au niveau du réseau - ils peuvent remplacer la mise à jour légitime par un programme d’installation piégé. Résultat ? Du code malveillant s’exécute avec les mêmes privilèges que l’utilisateur, ouvrant la porte aux malwares, portes dérobées, vols de données, voire à une compromission persistante du système.

La décision de la CISA d’inscrire ce bug dans son catalogue KEV est un signal d’alarme pour la communauté de la sécurité. Bien qu’aucune preuve publique n’indique pour l’instant que des groupes de ransomware exploitent CVE-2025-15556, le risque est loin d’être théorique - surtout compte tenu de la vaste base d’installation de Notepad++ dans les entreprises et les infrastructures critiques.

L’attaque est d’une simplicité inquiétante. Il suffit qu’une instance vulnérable de Notepad++ cherche une mise à jour sur un réseau compromis. L’attaquant redirige la requête, livre un faux programme d’installation, et le tour est joué. Dans les environnements où Notepad++ est déployé à grande échelle, une seule erreur peut compromettre toute une organisation.

Pour contrer la menace, la CISA exhorte tous les utilisateurs à mettre à jour Notepad++ immédiatement, en suivant scrupuleusement les instructions du fournisseur. Les organisations doivent auditer leurs environnements, s’assurer que les mises à jour proviennent uniquement de sources officielles, et envisager une surveillance réseau pour détecter tout trafic suspect. Si aucun correctif n’est disponible, la recommandation est claire : cessez d’utiliser le logiciel jusqu’à ce qu’il soit sécurisé.

Ce qui est en jeu pour les utilisateurs ordinaires

Pour beaucoup, Notepad++ semble parfaitement inoffensif. Mais cet incident rappelle crûment que même les outils de confiance peuvent devenir des vecteurs d’attaque si leurs mécanismes de mise à jour ne sont pas sécurisés. À l’heure où les attaques sur la chaîne d’approvisionnement se multiplient, la leçon est claire : ne jamais considérer les mises à jour logicielles comme acquises.

WIKICROOK

• CVE : CVE, ou Common Vulnerabilities and Exposures, est un système permettant d’identifier et de suivre de manière unique les failles de cybersécurité connues publiquement dans les logiciels et matériels.
• WinGUp : WinGUp est le client de mise à jour utilisé par Notepad++ pour vérifier, télécharger et installer automatiquement les dernières mises à jour logicielles sous Windows.
• CWE : CWE est un système standardisé pour classifier les faiblesses de sécurité des logiciels et matériels, facilitant l’identification des vulnérabilités et la gestion des risques.
• Man : Une attaque de type Man-in-the-Middle se produit lorsqu’un pirate intercepte secrètement et éventuellement modifie la communication entre deux parties, se faisant passer pour chacune auprès de l’autre.
• Empoisonnement DNS : L’empoisonnement DNS est une cyberattaque qui corrompt les enregistrements DNS afin de rediriger les utilisateurs de sites de confiance vers des sites malveillants ou frauduleux, permettant ainsi le vol ou l’installation de logiciels malveillants.