6 min. de lecture<\/p>\n
Notepad++ tourne discr\u00e8tement sur des millions d’ordinateurs, y compris dans les bureaux des PME allemandes. D\u00e9but 2026, cet \u00e9diteur anodin est devenu un cas d’\u00e9cole : deux failles permettent l’injection de commandes, et le m\u00e9canisme de mise \u00e0 jour a \u00e9t\u00e9 d\u00e9tourn\u00e9 pendant un temps. La le\u00e7on pour un prestataire informatique n’est pas de patcher Notepad++. Elle est la suivante : qui ne sait pas ce qui tourne dans sa maison ne peut pas le s\u00e9curiser.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n En lien :<\/span>Le goulot d’\u00e9tranglement se situe dans les anciens syst\u00e8mes<\/a> \/<\/span> D’abord les \u00e9quipes, ensuite les outils<\/a><\/p>\n Qu’est-ce que l’hygi\u00e8ne des outils en informatique ?<\/strong> Il s’agit de la gestion rigoureuse de chaque logiciel en activit\u00e9 dans l’entreprise : savoir ce qui est install\u00e9, qui l’utilise, s’il est maintenu et quand il n\u00e9cessite une mise \u00e0 jour. Cela concerne non seulement les grands syst\u00e8mes, mais aussi les petits utilitaires que personne ne surveille.<\/p>\n Notepad++ est pr\u00e9cis\u00e9ment l’un de ces utilitaires. D\u00e9but 2026, deux failles ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es : via un param\u00e8tre non prot\u00e9g\u00e9 dans le fichier de configuration et via une entr\u00e9e de commande dans le fichier de raccourci, il est possible d’ex\u00e9cuter des commandes arbitraires. Toutes deux affichent un score CVSS de 7.8, soit un risque \u00e9lev\u00e9. Plus pr\u00e9occupant encore, une seconde constatation : selon des chercheurs en s\u00e9curit\u00e9, le m\u00e9canisme de mise \u00e0 jour de l’\u00e9diteur a \u00e9t\u00e9 d\u00e9tourn\u00e9 pendant des mois par des acteurs proches d’\u00c9tats pour distribuer des logiciels malveillants. La version corrig\u00e9e 8.9.6 a d\u00fb \u00eatre install\u00e9e manuellement pendant un temps, car le m\u00e9canisme de mise \u00e0 jour int\u00e9gr\u00e9 ne la proposait pas.<\/p>\n Voil\u00e0 pour les faits. Pour les PME, Notepad++ en lui-m\u00eame importe peu. Ce cas met en lumi\u00e8re cinq sch\u00e9mas qui existent dans de nombreuses entreprises et qui font la diff\u00e9rence en cas de crise.<\/p>\n La premi\u00e8re question n’est pas de savoir si Notepad++ a \u00e9t\u00e9 patch\u00e9. Elle est : tourne-t-il seulement chez nous, et sur combien de postes ? Dans la plupart des organisations, cette question ne trouve pas de r\u00e9ponse imm\u00e9diate. Les outils sont install\u00e9s parce qu’ils sont pratiques, et n’apparaissent dans aucun inventaire. C’est du shadow IT \u00e0 petite \u00e9chelle, et il est plus dangereux que les logiciels officiellement acquis, parce que personne ne le surveille.<\/p>\n Un inventaire logiciel \u00e0 jour est peu spectaculaire, mais central. Sans cette liste, chaque signalement de vuln\u00e9rabilit\u00e9 devient un jeu de devinettes : sommes-nous concern\u00e9s, et si oui, o\u00f9 ? Celui qui ne peut pas r\u00e9pondre \u00e0 cette question en quelques minutes a son vrai probl\u00e8me du c\u00f4t\u00e9 de la visibilit\u00e9.<\/p>\n Le patching \u00e9choue rarement sur le plan technique, et presque toujours sur celui des responsabilit\u00e9s. Tant que \u00ab quelqu’un s’en occupera \u00bb reste la r\u00e8gle, personne ne s’en occupe. La question honn\u00eate dans chaque service informatique : derri\u00e8re chaque cat\u00e9gorie de logiciel, y a-t-il un nom qui r\u00e9pond des mises \u00e0 jour ? Pour les grands syst\u00e8mes, souvent oui. Pour les petits outils, presque jamais.<\/p>\n Au quotidien, c’est une autre distinction qui compte : g\u00e9r\u00e9 ou abandonn\u00e9 \u00e0 lui-m\u00eame.<\/p>\n La ligne du milieu, c’est le cas Notepad++. C’est pr\u00e9cis\u00e9ment l\u00e0, dans les petits outils discrets, que la responsabilit\u00e9 fait le plus souvent d\u00e9faut.<\/p>\n La partie la plus inconfortable de l’affaire : le principal dommage n’\u00e9tait pas la faille elle-m\u00eame, mais le canal de maintenance. Un auto-updater est un canal disposant des droits les plus \u00e9lev\u00e9s, directement sur la machine, et c’est pr\u00e9cis\u00e9ment pour cette raison qu’il constitue une cible de choix. S’il est d\u00e9tourn\u00e9, le familier message \u00ab mise \u00e0 jour disponible \u00bb livre le code malveillant avec lui.<\/p>\n Cela ne signifie pas qu’il faut \u00e9viter les mises \u00e0 jour, bien au contraire. Cela signifie qu’il faut conna\u00eetre la source d’approvisionnement : les mises \u00e0 jour proviennent-elles d’une source contr\u00f4l\u00e9e, d’un d\u00e9p\u00f4t interne ou d’une distribution v\u00e9rifi\u00e9e, plut\u00f4t que chaque programme ne se t\u00e9l\u00e9charge lui-m\u00eame depuis le r\u00e9seau ? Dans les PME, rares sont ceux qui posent cette question avant que le dommage soit fait.<\/p>\n Il est tentant de classer l’affaire comme un probl\u00e8me propre \u00e0 Notepad++ et de passer \u00e0 l’ordre du jour. C’est l\u00e0 l’erreur. Chaque organisation poss\u00e8de sa propre collection de petits assistants populaires : un outil PDF ici, un programme d’archivage l\u00e0, un \u00e9diteur de scripts du c\u00f4t\u00e9 de l’\u00e9quipe de d\u00e9veloppement. Chacun d’eux peut faire demain la une des actualit\u00e9s.<\/p>\n La cons\u00e9quence n’est pas une liste d’outils interdits, mais une posture : un logiciel gratuit tr\u00e8s r\u00e9pandu n’est pas un gage de s\u00e9curit\u00e9, mais un indicateur de diffusion. Les deux ne doivent pas \u00eatre confondus. Celui qui a int\u00e9gr\u00e9 cette le\u00e7on traite d’embl\u00e9e le prochain utilitaire comme une composante de sa surface d’attaque.<\/p>\n Le dernier maillon maintient les quatre autres ensemble. Inventaire, responsabilit\u00e9s, processus de mise \u00e0 jour ma\u00eetris\u00e9s et une position claire sur les logiciels standard ne sont pas des mesures isol\u00e9es, mais une routine. Elle doit \u00eatre suffisamment l\u00e9g\u00e8re pour ne pas \u00eatre sacrifi\u00e9e en premier lorsque les d\u00e9lais se resserrent.<\/p>\n Pour les PME, cela signifie : non pas le framework le plus ambitieux, mais celui qui sera r\u00e9ellement appliqu\u00e9. Une liste \u00e0 jour chaque trimestre vaut mieux qu’un concept de s\u00e9curit\u00e9 entretenu pour des raisons de conformit\u00e9 et que personne ne lit. La diff\u00e9rence entre les deux ne se remarque qu’\u00e0 la prochaine alerte, et il est alors trop tard pour la combler.<\/p>\n La gestion rigoureuse de chaque logiciel dans l’entreprise : savoir ce qui est install\u00e9, qui l’utilise, s’il est maintenu et quand il n\u00e9cessite une mise \u00e0 jour. Elle ne couvre pas seulement les syst\u00e8mes centraux, mais pr\u00e9cis\u00e9ment les petits utilitaires qui n’apparaissent sur aucune liste.<\/p>\n<\/details>\n Deux vuln\u00e9rabilit\u00e9s (CVE-2026-48778 et CVE-2026-48800, toutes deux CVSS 7.8) permettent l’ex\u00e9cution de commandes. Mais le dommage le plus important est pass\u00e9 par le m\u00e9canisme de mise \u00e0 jour, qui aurait \u00e9t\u00e9 d\u00e9tourn\u00e9 pendant plusieurs mois pour distribuer des logiciels malveillants, selon les chercheurs en s\u00e9curit\u00e9.<\/p>\n<\/details>\n Pour ce cas pr\u00e9cis, oui : la version corrig\u00e9e 8.9.6 comble les failles. Mais en tirer uniquement cette le\u00e7on serait trop r\u00e9ducteur. Le vrai risque, c’est de ne pas savoir quels outils standard tournent dans l’entreprise ni qui est responsable de leurs mises \u00e0 jour.<\/p>\n<\/details>\n Extr\u00eamement. Un updater dispose de droits \u00e9lev\u00e9s directement sur la machine. Si son canal est compromis, la notification de mise \u00e0 jour habituelle devient le vecteur de diffusion du code malveillant. C’est pourquoi la source des mises \u00e0 jour doit \u00eatre contr\u00f4l\u00e9e, et non laiss\u00e9e \u00e0 la discr\u00e9tion de chaque programme.<\/p>\n<\/details>\n Par un inventaire logiciel \u00e0 jour et une responsabilit\u00e9 clairement attribu\u00e9e par cat\u00e9gorie de logiciel. Ces deux mesures sont peu co\u00fbteuses et d\u00e9terminent si la prochaine alerte de vuln\u00e9rabilit\u00e9 sera une heure de travail tranquille ou une journ\u00e9e \u00e0 naviguer \u00e0 l’aveugle.<\/p>\n<\/details>\n Recommandations de la r\u00e9daction<\/p>\n\n
Pourquoi un \u00e9diteur devient un cas d’\u00e9cole<\/h2>\n
1. Savoir ce qui tourne r\u00e9ellement<\/h2>\n
2. Rattacher la responsabilit\u00e9 des correctifs \u00e0 un nom<\/h2>\n
\n\n
\n \nCat\u00e9gorie de logiciel<\/th>\n Risque typique<\/th>\n Ce qui aide<\/th>\n<\/tr>\n<\/thead>\n \n Syst\u00e8mes c\u0153ur (ERP, messagerie)<\/strong><\/td>\n Surveill\u00e9s, mais dans le viseur des attaquants<\/td>\n Cycle de correctifs \u00e9tabli, responsables clairement d\u00e9sign\u00e9s<\/td>\n<\/tr>\n \n Utilitaires courants (\u00e9diteurs, outils)<\/strong><\/td>\n Invisibles, souvent sans responsable<\/td>\n Int\u00e9grer \u00e0 l’inventaire, d\u00e9signer un responsable<\/td>\n<\/tr>\n \n Logiciels install\u00e9s \u00e0 titre priv\u00e9<\/strong><\/td>\n Compl\u00e8tement hors de tout contr\u00f4le<\/td>\n Politique claire et blocage technique<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n 3. Ne pas faire aveugl\u00e9ment confiance \u00e0 la mise \u00e0 jour automatique<\/h2>\n
4. Les outils standards ne sont pas un cas particulier<\/h2>\n
5. Les r\u00e8gles doivent s’appliquer au quotidien<\/h2>\n
Foire aux questions<\/h2>\n
Qu’est-ce que l’hygi\u00e8ne des outils en informatique ?<\/strong><\/summary>\n
Qu’avaient de particulier les failles de Notepad++ ?<\/strong><\/summary>\n
Est-il suffisant de mettre \u00e0 jour Notepad++ ?<\/strong><\/summary>\n
Dans quelle mesure un auto-updater d\u00e9tourn\u00e9 est-il dangereux ?<\/strong><\/summary>\n
Par o\u00f9 une PME sans grande \u00e9quipe IT commence-t-elle ?<\/strong><\/summary>\n