Notepad++ piraté : quand la mise à jour devient la porte d'entrée
Pendant six mois, des attaquants ont détourné le service de mise à jour de Notepad++ pour cibler certains utilisateurs. Ce que ça dit de vos logiciels.
Le 2 février, le développeur de Notepad++, l'éditeur de texte gratuit installé sur des millions de postes Windows, a publié un récit inquiétant : de juin à décembre 2025, des attaquants ont pris le contrôle d'une partie de son service de mise à jour et ont servi des versions piégées à des utilisateurs choisis. Le logiciel lui-même n'était pas en cause, c'est le chemin de la mise à jour qui l'était. La leçon dépasse largement Notepad++ : une mise à jour n'est sûre que si le logiciel vérifie ce qu'il télécharge.
Ce qui s'est passé
Notepad++ vérifie régulièrement s'il existe une nouvelle version en interrogeant un petit script hébergé sur son site. Ce script était installé sur un serveur mutualisé, chez un hébergeur que le projet a depuis quitté. D'après le récit publié par le développeur, ce serveur a été compromis à partir de juin 2025 et jusqu'au 2 septembre. Les attaquants ont ensuite conservé des identifiants de services internes de l'hébergeur jusqu'au 2 décembre, ce qui leur a permis de continuer à détourner une partie du trafic.
Le détournement était sélectif : seuls certains utilisateurs recevaient l'adresse d'une mise à jour malveillante, les autres obtenaient la vraie. Plusieurs chercheurs indépendants estiment qu'il s'agit d'un groupe soutenu par un État, probablement chinois, sans que le développeur l'ait confirmé. Le chercheur Kevin Beaumont, cité par The Register, décrit une opération très ciblée.
Pourquoi ça a marché ? Parce que les anciennes versions du programme de mise à jour ne vérifiaient pas suffisamment l'origine du fichier téléchargé. L'hébergeur lui-même pointe ce manque comme la raison probable du choix de la cible.
Ce qui a été corrigé
- Version 8.8.9 (décembre 2025) : le programme de mise à jour vérifie le certificat et la signature de l'installateur téléchargé.
- Version 8.9 (fin décembre 2025) : seul le certificat officiel, délivré par une autorité reconnue, est utilisé.
- Le fichier que le serveur de mise à jour renvoie est désormais signé lui aussi.
- Version 8.9.2, annoncée pour le mois suivant : la vérification devient obligatoire.
La recommandation officielle : télécharger manuellement la dernière version depuis le site officiel et l'installer, ce qui met à jour l'éditeur et son programme de mise à jour.
Ce que ça change pour une PME
La plupart des entreprises ne sont pas la cible d'un service de renseignement. Mais le schéma, lui, vous concerne directement, pour deux raisons.
Vos postes sont pleins de petits logiciels
Éditeur de texte, lecteur PDF, outil de capture d'écran, utilitaire de compression : chacun a son propre mécanisme de mise à jour, plus ou moins robuste, souvent hors de tout inventaire. Si personne ne sait ce qui est installé, personne ne sait non plus ce qui se met à jour, ni comment.
Vos propres logiciels se mettent à jour aussi
Une application métier installée sur les postes, une application mobile, un logiciel qui pilote une machine : tous reçoivent des mises à jour. La question à poser à votre prestataire est simple : comment le logiciel vérifie-t-il que la mise à jour vient bien de vous ? La bonne réponse tient en deux mots, signature vérifiée. Pour les applications iOS et Android, les magasins d'applications s'en chargent. Pour un logiciel installé ou embarqué, c'est à celui qui le développe de le prévoir.
Votre hébergeur compte
Le maillon faible était un serveur mutualisé chez un hébergeur. Le développeur conseille d'ailleurs à ceux qui hébergeaient des sites chez le même prestataire de changer leurs identifiants d'accès et, pour les sites WordPress, de revoir les comptes administrateurs et les extensions.
Pourquoi la mise à jour est devenue une cible
Pour un attaquant, piéger une mise à jour est un raccourci remarquable. Plutôt que de convaincre chaque victime de cliquer sur une pièce jointe, il passe par un canal en qui tout le monde a confiance : le logiciel lui-même, qui va chercher le fichier et l'installe, souvent avec des droits d'administrateur. L'antivirus voit un programme connu faire ce qu'il fait d'habitude.
C'est ce qu'on appelle une attaque par la chaîne d'approvisionnement logicielle. Elle vise le fournisseur pour atteindre ses clients. Dans le cas de Notepad++, le projet est maintenu par un très petit nombre de personnes, avec peu de moyens, et pourtant installé dans des entreprises du monde entier. C'est le cas de beaucoup d'outils gratuits que vous utilisez sans le savoir. Leur sécurité dépend de choix techniques simples, comme la vérification de signature, qui n'ont pas toujours été faits.
Ce qu'on conseille de faire
- Mettre à jour Notepad++ à la main sur les postes où il est installé, depuis le site officiel.
- Dresser la liste des logiciels installés sur les postes, même gratuits. Une feuille partagée suffit pour commencer.
- Supprimer ce qui ne sert plus : un logiciel désinstallé n'a plus de mise à jour à détourner.
- Interroger vos prestataires sur la signature des mises à jour de vos logiciels métier.
Chez nous, chaque logiciel métier livré est hébergé en France ou chez le client, et son code source vous est remis : vous savez ce qui tourne et comment ça se met à jour. Pour en parler, prenez rendez-vous.