Le petit logiciel que des millions d’utilisateurs lancent sans y penser, souvent pour ouvrir un simple fichier texte, s’est retrouvé au cœur d’un scénario redouté par tous les professionnels de la cybersécurité : une attaque de la chaîne d’approvisionnement. Pendant plusieurs mois en 2025, le mécanisme de mise à jour de Notepad++ a pu être détourné afin de pousser certains utilisateurs vers des téléchargements piégés.
L’affaire, révélée progressivement depuis décembre, a pris un tour plus grave encore avec la publication d’un bilan d’enquête début février 2026. Le mainteneur du projet indique que l’attaque ne visait pas à exploiter une faille dans le code de Notepad++ lui même, mais à manipuler l’infrastructure qui servait les réponses au module de mise à jour.
Un problème chez l’hébergeur, pas dans le logiciel
Ce point est très important. Selon les éléments communiqués par l’équipe et des experts externes, la compromission serait intervenue au niveau du fournisseur d’hébergement utilisé à l’époque. Du coup, les attaquants auraient eu la capacité d’intercepter certaines requêtes destinées au domaine officiel du projet et de rediriger des victimes choisies vers des serveurs contrôlés par l’attaquant.
Le procédé décrit ressemble à une opération chirurgicale. Il ne s’agissait pas d’arroser le grand public au hasard, mais de sélectionner des profils, puis de leur présenter de fausses informations de mise à jour, conduisant potentiellement au téléchargement d’exécutables compromis.
Plusieurs chercheurs et observateurs estiment que ce niveau de sélectivité, combiné aux moyens techniques, évoque une équipe soutenue par un État. L’hypothèse la plus souvent citée est celle d’un groupe lié à la Chine, mais il faut le souligner : l’attribution, par nature, reste toujours délicate et rarement “prouvée” au sens judiciaire.
De juin à décembre 2025
Les dates communiquées donnent une idée de l’ampleur.
- Le début de la campagne est situé autour de juin 2025.
- Le fournisseur d’hébergement affirme que le serveur mutualisé concerné aurait été compromis jusqu’au 2 septembre 2025, date d’une maintenance incluant mises à jour noyau et microcode.
- Problème supplémentaire : même après cette perte d’accès au serveur, les attaquants auraient conservé des identifiants de services internes, ce qui leur aurait permis de prolonger la redirection du trafic jusqu’au 2 décembre 2025, selon l’hébergeur.
- De leur côté, des analyses d’experts évoquent une fin possible de l’activité autour du 10 novembre 2025. Dans le doute, le mainteneur retient une période de risque allant de juin à début décembre 2025, date à laquelle les accès malveillants auraient été définitivement coupés.
Pourquoi Notepad++ ?
Notepad++ est un projet open source, gratuit et très très répandu. Dans de nombreuses entreprises, il est présent sur des postes de développeurs, d’administrateurs systèmes, de techniciens support, parfois même sur des machines sensibles. C’est donc une porte d’entrée tentante.
Surtout, la mise à jour automatique est un point de confiance. Quand un utilisateur clique sur “mettre à jour”, il pense télécharger un fichier authentique, signé, intègre. Une attaque qui détourne cette relation de confiance peut transformer un banal utilitaire en cheval de Troie, sans alerte immédiate.
La réponse : durcissement du mécanisme de mise à jour
Face à la gravité des faits, le projet a accéléré les mesures de protection.
Une première étape est arrivée avec la version 8.8.9 publiée début décembre 2025. L’outil de mise à jour a été renforcé afin de vérifier plus strictement l’authenticité de l’installeur téléchargé, en s’appuyant sur des contrôles de certificat et de signature.
Dans le doute, les recommandations les plus prudentes sont les suivantes :
- Mettre à jour Notepad++ vers une version récente en passant par les canaux officiels du projet, en privilégiant une installation propre.
- Dans un environnement professionnel, vérifier l’historique des installations et l’origine des exécutables déployés sur les postes pendant la période à risque.
- Si l’on gère un parc informatique, envisager une recherche d’indicateurs de compromission sur les machines potentiellement touchées, notamment si l’outil était installé sur des postes à privilèges.
Notepad++ étant un logiciel très courant, ce dossier rappelle une réalité parfois négligée : la cybersécurité ne se joue pas seulement dans les failles spectaculaires. Elle se joue dans les mécanismes de confiance quotidiens, comme une mise à jour automatique.
Le communiqué officiel de Notepad ++