CVE-2026-20841 漏洞详细介绍：Windows 记事本高危远程代码执行漏洞

一、漏洞概述

CVE-2026-20841 是一个由微软在2026年2月“补丁星期二”更新中正式修复的高危远程代码执行（Remote Code Execution, RCE）漏洞，影响广泛使用的 Windows 记事本（Notepad）应用。该漏洞编号为 CVE-2026-20841，CVSS v3.1 基础评分为 8.8，属于高危等级，微软将其严重性评定为“Important”（重要）。尽管目前尚未发现野外利用的案例，但其攻击路径简单、利用门槛低，一旦被恶意利用，可能导致用户系统被完全控制，构成严重安全威胁。

二、漏洞成因与技术原理

该漏洞存在于 Microsoft Store 分发的新版 Windows 记事本（也称“现代化记事本”）中，与旧版系统内置的纯文本记事本无关。新版记事本为支持现代文档格式，新增了对 Markdown（.md）文件的解析与预览功能，但在此过程中存在严重的安全校验缺失。

漏洞本质为 命令注入（Command Injection）。

攻击者可构造一个看似正常的 .md 文件，嵌入伪装链接（如“点击查看详情”），当用户使用新版记事本打开并点击该链接时，系统将自动执行恶意命令，实现远程代码执行。

三、攻击流程与危害

  1. 构造恶意文件：攻击者创建一个包含特制链接的 Markdown 文件，内容伪装为工作文档、技术笔记等，提升欺骗性。
  2. 诱导用户打开：通过邮件、社交软件、共享链接等方式传播文件，诱导用户使用新版记事本打开。
  3. 点击触发执行：用户点击链接瞬间，记事本解析并执行恶意命令，如：
    • 下载并运行远控木马、勒索软件；
    • 窃取本地敏感数据（密码、文档、浏览器记录）；
    • 建立持久化后门，实现长期控制；
    • 横向渗透内网，攻击其他设备。
  4. 系统沦陷：攻击者获得完整控制权，设备沦为“肉鸡”，可能被用于挖矿、发起DDoS攻击或进一步渗透企业网络。

四、影响范围

  • ✅ 受影响版本：
    • 所有安装了 Microsoft Store 版新版记事本的 Windows 10 和 Windows 11 系统。
    • 特别是在启用 Markdown 预览功能的设备上风险更高。
  • ❌ 不受影响版本：
    • Windows 系统内置的旧版记事本（无 Markdown 解析功能）；
    • Windows Server 系统（默认不安装新版记事本，除非手动从商店下载）。

五、修复方案与防护建议

  1. 立即安装补丁（最有效措施）：
    • 个人用户：进入「设置 → Windows 更新」，检查并安装 2026年2月10日及以后的累积更新；
    • 同时打开 Microsoft Store，更新记事本应用至最新版本（可在“设置-关于”中查看版本号）。
  2. 企业与政企用户：
    • 通过 WSUS 或 Intune 批量推送补丁；
    • 暂时禁用新版记事本的 Markdown 预览与链接跳转功能；
    • 使用终端安全产品（如 Microsoft Defender for Endpoint）监控异常命令行行为。
  3. 临时规避措施（未打补丁前）：
    • 关闭记事本的 Markdown 预览功能；
    • 将 .md 文件默认打开方式设为旧版记事本或安全的第三方编辑器（如 VSCode、Typora）；
    • 不打开来源不明的 .md 文件或压缩包中的文档。
  4. 安全意识提升：
    • 警惕邮件、聊天工具中收到的“文档”类附件；
    • 点击链接前，右键复制地址，检查是否包含异常协议或命令字符。