AI функциите в Windows Notepad отвориха критична дупка в сигурността

Тази седмица Microsoft пусна най-новата си актуализация от типа Patch Tuesday с 59 поправки за Windows, Microsoft Office, Azure и редица основни системни компоненти. Актуализацията включва поправки за шест пропуски в сигурността, които са били активно експлоатирани от хакерите, както и поправки за три публично оповестени уязвимости от типа „нулев ден“.

Според обяснителните бележки на Microsoft актуализацията поправя 25 грешки, свързани с повишаване на привилегиите, 12 уязвимости с отдалечено изпълнение на кода, три уязвимости, свързани с отказ на услуга, пет експлойта за заобикаляне на функциите за сигурност, шест бъга, свързани с разкриване на информация, и седем уязвимости, свързани с подправяне на данните. Шест от уязвимостите са оценени като „критични“, а останалите - като „тежки“.

Едно от първите приложения на Microsoft, които получиха съответния фикс тази седмица, е Notepad, който наскоро беше актуализиран с редица функции за изкуствен интелект. Обявена като CVE-2026-20841, уязвимостта за отдалечено изпълнение на код използва неправилното неутрализиране на използваните в подадената командата специални елементи, което позволява на злонамерените участници да изпълняват произволен, неоторизиран код на хост машината по мрежата.

Според Microsoft хакерите могат да се възползват от уязвимостта за да инжектират команди, като подмамят потребителите да кликнат върху зловреден линк в Markdown файл, отворен в Notepad, което кара програмата да стартира непроверени протоколи, които потенциално могат да заредят и изпълнят заразени с малуер отдалечени файлове, давайки на нападателя същите права като на потребителя.

Уязвимостта, оценена като „Важна“, не е била публично разкрита преди да бъде поправена и не са известни доказателства за нейната активна експлоатация. Въпреки това Microsoft препоръчва на потребителите да изтеглят и инсталират хотфикса възможно най-скоро, за да попречат на злонамерените участници да я използват на клиентските устройства.

Откриването на zero-day за изпълнение на отдалечен код в Notepad отново разпали дебата за това дали всяко приложение за Windows се нуждае от AI функции. Потребители и експерти по киберсигурност се изказват по въпроса в социалните медии и много от тях изглежда са на мнение, че нежеланото внедряване на изкуствен интелект забавя

Notepad. Други се питат защо един текстов редактор изобщо се нуждае от мрежова свързаност.
Освен Notepad, и други вградени приложения на Windows, които получиха "лечение" с AI, включват Paint, Photos, Snipping Tool и др. Докато някои от функциите на изкуствения интелект, като например инструментите за генеративно изтриване и премахване на обекти в приложението Photos, получиха до голяма степен положителен отзвук, потребителите не бяха толкова благосклонни към много от другите AI актуализации, които според тях добавят ненужно раздуване, забавят производителността и влияят на продуктивността.