Notepad++、二重ロックでサプライチェーン攻撃への耐性を向上

背景：更新プロセスを狙う「選別型」の攻撃が問題に

Notepad++を巡っては、更新サーバーへの誘導（リダイレクト）などを通じて、特定の標的に悪性更新を配布し得るとされるインシデントが報じられてきました。

報道によれば、攻撃は無差別ではなく、東アジア関連の関心を持つ組織などを中心に選別的に狙った可能性が指摘されています。

v8.9.2の要点：「二重ロック」で更新経路を堅牢化

開発元の説明では、今回のv8.9.2で、更新時に参照される アップデート情報（更新サーバーが返すXML）に電子署名（XMLDSig）を付与し、証明書と署名検証を強制する仕組みを導入しました。これにより、仮にネットワーク上で応答が改ざんされても、検証に失敗すれば更新処理が進みにくくなります。

さらに、開発元は「二重ロック」として、インストーラ自体の署名検証も併用している点を強調しています（インストーラはGitHub配布物の署名確認を行う設計）。

更新情報（XML）と配布物（インストーラ）をそれぞれ別系統で検証することで、単一ポイントの突破で更新が乗っ取られるリスクを下げるとしています。

自動更新モジュール（WinGUp）も強化：DLLサイドローディング対策など

v8.9.2では、オートアップデータ「WinGUp」側も見直され、libcurl.dll依存を削除してDLLサイドローディングのリスクを低減したほか、SSL関連の安全でないオプションを外すなどのハードニングが行われたとされています。また、プラグイン管理の実行を同一証明書で署名されたプログラムに限定するなど、更新周辺の実行経路も絞り込む方針です。

利用者への影響と対応：アップデート推奨、企業は自動更新無効化も選択肢

開発元は、更新経路の堅牢化を進めた最新版への更新を促しています。