Windows メモ帳の RCE 脆弱性が Markdown ファイルを悪用

Microsoft は、ユーザーが特別に細工された Markdown ファイルを開いた場合にリモートコード実行を可能にする、最新の Windows メモ帳アプリの脆弱性にパッチを適用しました。 

この問題の CVSS スコアは 8.8 で、悪用にはユーザーの操作が必要です。

この脆弱性は「…権限のない攻撃者がネットワーク経由でコードを実行することを可能にします」と Microsoft は勧告で述べています。

CVE-2026-20841 の詳細

メモ帳は長い間基本的なユーティリティと考えられてきましたが、最新の Microsoft Store 版には Markdown レンダリングとプロトコル処理機能が含まれており、攻撃対象領域が拡大しています。 

CVE-2026-20841 はバージョン 11.2510 より前の Store ベースのメモ帳アプリに影響しますが、Windows にバンドルされている従来の Notepad.exe は影響を受けません。 

修正は Windows の累積更新プログラムではなく Microsoft Store 経由で配信されるため、組織はパッチ管理ワークフローに Store アプリの更新を含める必要があります。 

この問題は、メモ帳が Markdown (.md) ファイルに埋め込まれた特別に細工されたハイパーリンクを処理する際に発生します。 

攻撃者は、操作されたカスタムプロトコルスキームを利用するリンクを含む悪意のある Markdown ドキュメントを作成できます。 

ユーザーが最新のメモ帳アプリでファイルを開き、埋め込まれたリンクをクリックすると、アプリケーションがプロトコルハンドラーを適切に検証またはサニタイズできず、リモートコンテンツが取得され、任意のコマンドが実行される可能性があります。

結果として生じるペイロードは、ログインしているユーザーのセキュリティコンテキストで実行されます。その結果、影響はそのアカウントに関連付けられた権限に依存します。 

ユーザーがローカル管理者権限を持つ環境では、悪用が成功するとソフトウェアのインストール、構成変更、または機密データへのアクセスが可能になる可能性があります。 

標準ユーザー権限であっても、攻撃者はネットワーク内での永続性や横方向の移動を促進する足がかりを確立できます。 

開示時点では、Microsoft は積極的な悪用を観察しておらず、公開された概念実証エクスプロイトは利用できませんでした。 

メモ帳 RCE のリスク軽減

組織は、予防と可視性の両方を重視する、規律ある リスクベースのアプローチを通じて、この脆弱性に対処する必要があります。 

悪用はユーザーの操作とプロトコル処理に依存するため、軽減策はパッチ適用を超えて、アプリケーションガバナンスと実行制御を含める必要があります。 

• Microsoft Store 経由でメモ帳アプリをバージョン 11.2510 以降にパッチ適用し、すべての管理対象エンドポイントで展開を確認します。
• Microsoft Store アプリの自動更新を有効にし、アプリケーション層のパッチ適用を標準的な脆弱性管理およびコンプライアンス報告プロセスに組み込みます。
• 不要なプロトコルハンドラーを制限し、Store アプリの展開を制御し、Markdown サポートが不要な場合は承認されたテキストエディターを標準化することで露出を制限します。
• アプリケーション許可リストを実装し、AppData、Temp、Downloads などのユーザー書き込み可能なディレクトリからのスクリプトまたはバイナリの実行をブロックすることで、実行リスクを軽減します。
• Markdown 添付ファイルをサンドボックス化し、疑わしいリンクをフィルタリングし、メモ帳が異常な子プロセスやコマンドライン活動を生成していないか監視することで、電子メールと Web セキュリティ制御を強化します。
• 不要なローカル管理者権限を削除し、ジャストインタイムの昇格を使用してユーザーコンテキストでのコード実行の影響を最小限に抑えることで、最小権限を適用します。
• インシデント対応計画をテストおよび更新して、悪意のあるファイルやプロトコルの悪用に関する悪用の試みを迅速に検出、調査、封じ込めできるようにします。

これらの手順を組み合わせることで、露出を減らし、潜在的な侵害を封じ込め、悪用の試みによる運用上の影響を制限できます。 

アプリベースの更新がセキュリティを変える理由

CVE-2026-20841 は、一般的に使用される生産性ツールの機能拡張が、追加のセキュリティ上の考慮事項をもたらす可能性があることを浮き彫りにしています。 

組織が従来のオペレーティングシステムの更新ではなくアプリストアを通じて配信されるアプリケーションを採用するにつれて、一貫したセキュリティ監視を維持するために、アプリケーションのパッチ適用とエンドポイント制御に対する強力なガバナンスが不可欠になります。 

この変化により、セキュリティチームは、ユーザーデバイスとアプリケーションへの暗黙的な信頼への依存を減らすゼロトラストソリューションを評価するよう促されます。