Notepad++ gehört auf vielen Windows-PCs zur Standardausstattung. Aktuelle Sicherheitslücken zeigen aber wieder: Auch kleine Anwendungen müssen im Patch-Management berücksichtigt werden.

Mit Version 8.9.7 hat das Notepad++-Projekt mehrere Sicherheitsprobleme behoben. Betroffen sind unter anderem Funktionen zur Verarbeitung von Umgebungsvariablen, Session-Dateien und der integrierte Update-Mechanismus.

Für Unternehmen bedeutet das: Installierte Notepad++-Versionen sollten auf einen aktuellen Stand gebracht werden.

Für unsere Managed-Service-Kunden ist das bereits erledigt.

Mehrere Sicherheitslücken geschlossen

Notepad++ 8.9.7 behebt gleich mehrere Schwachstellen.

Dazu gehört CVE-2026-54758, eine Stack-Buffer-Overflow-Schwachstelle. Außerdem wurde mit CVE-2026-52886 die Verarbeitung von Pfaden innerhalb von Session-Dateien abgesichert.

Mit CVE-2026-57233 wurde darüber hinaus eine Path-Traversal-Schwachstelle im WinGUp-Updater von Notepad++ behoben.

Bereits in den unmittelbar davor veröffentlichten Versionen wurden weitere Sicherheitsprobleme geschlossen.

Das zeigt ein Problem, das im Unternehmensalltag leicht übersehen wird:

Patch-Management betrifft längst nicht nur Windows und Microsoft Office.

Die vergessenen Anwendungen auf dem Arbeitsplatz

Browser, PDF-Reader, Komprimierungsprogramme, Notepad++, Java-Runtimes und zahlreiche andere Anwendungen sind auf vielen Unternehmens-PCs installiert.

Einige davon werden täglich verwendet. Andere wurden vielleicht vor Jahren für einen bestimmten Zweck installiert und sind seitdem einfach vorhanden.

Genau diese Anwendungen können zum Sicherheitsrisiko werden, wenn niemand ihren Patch-Status überwacht.

Windows Update allein löst dieses Problem nicht.

Unsere Managed-Service-Kunden sind bereits geschützt

Bei unseren betreuten Arbeitsplätzen beschränkt sich Patch-Management deshalb nicht auf Windows Updates.

Wir überwachen auch unterstützte Drittanbieter-Anwendungen und können verfügbare Sicherheitsupdates zentral verteilen.

Das aktuelle Notepad++ Update wurde auf den von uns entsprechend gemanagten Geräten bereits automatisiert ausgerollt.

Unsere Kunden mussten dafür weder eine Sicherheitsmeldung lesen noch selbst prüfen, welche Version von Notepad++ auf ihren Geräten installiert ist.

Genau so sollte Patch-Management funktionieren.

Sicherheit sollte keine Aufgabe des Anwenders sein

Ein Mitarbeiter sollte nicht entscheiden müssen, ob ein angezeigtes Software-Update wichtig ist.

Und die IT sollte nicht jeden Monat dutzende Hersteller-Webseiten kontrollieren müssen, um herauszufinden, ob irgendwo eine kritische Aktualisierung erschienen ist.

Professionelles Patch-Management bedeutet deshalb:

Updates erkennen → Risiko bewerten → zentral verteilen → Installation kontrollieren

Damit lässt sich nicht jede Sicherheitslücke verhindern. Aber die Zeit zwischen der Veröffentlichung eines Sicherheitsupdates und dessen Installation lässt sich erheblich reduzieren.

Ein kleines Programm – ein gutes Beispiel

Notepad++ ist nur ein Beispiel.

Die Anwendung zeigt aber sehr schön, warum wir Patch-Management als laufenden Prozess verstehen und nicht als gelegentliche Wartungsaufgabe.

Denn Angreifern ist letztlich egal, ob eine Schwachstelle im Betriebssystem, Browser oder in einem kleinen Hilfsprogramm steckt.

Entscheidend ist nur, ob sie ausgenutzt werden kann.

Unsere Aufgabe ist deshalb nicht nur, Systeme am Laufen zu halten. Wir wollen auch wissen, in welchem Zustand sie sich befinden – und handeln, wenn Handlungsbedarf besteht.