29 Settembre 2025 10:51    Alert

Notepad++: disponibile PoC per CVE-2025-56383 (DLL hijacking). Rischio locale, ma exploit pubblicamente accessibile

Il CSIRT Italia segnala la divulgazione di un Proof of Concept (PoC) pubblico per la vulnerabilità CVE-2025-56383 che interessa tutte le versioni di Notepad++ – diffuso a fine settembre 2025. La falla, classificata Arbitrary Code Execution, permette a un aggressore di eseguire codice arbitrario tramite la sostituzione di una DLL (es. “NppExport.dll” nella cartella Notepad++\plugins\NppExport) con una versione appositamente predisposta. L’exploit sfrutta la mancanza di meccanismi di integrazione/verifica sull’origine delle librerie caricate dal componente plugin del noto editor testuale.

La procedura, nota come DLL hijacking, implica che l’attaccante abbia già accesso (diretto o tramite altro malware) al disco locale in modo da sostituire le DLL legittime. In ambienti correttamente configurati (installazione sotto “Program Files”, permessi restrittivi), il rischio effettivo di exploit è fortemente ridotto; al contrario, sistemi o installazioni “portable” con permessi deboli sono più a rischio. La comunità di sviluppatori e parte del settore sottolineano come la pericolosità della vulnerabilità dipenda moltissimo dal contesto e dai permessi concessi nella directory di installazione: molti definiscono il CVE “sovrastimato”.

Azioni consigliate:

  • Monitorare la pubblicazione di patch ufficiali da parte degli sviluppatori Notepad++.

  • Evitare installazioni in directory scrivibili da utenti non privilegiati.

  • Limitare i permessi di scrittura sulla cartella Notepad++ solo ad amministratori.

  • Prestare particolare attenzione su sistemi multiutente o con software gestito tramite script “portable”.
     

Conclusione:
Il PoC pubblico aumenta il rischio teorico di abusi nei contesti vulnerabili, anche se il difetto strutturale è limitato dai controlli di sistema e dai permessi di scrittura.
È raccomandato applicare best practice sistemistiche in attesa di chiarimenti o update dal vendor.

 

Fonti: ACN, GitHub, Tinextadefence