Das Versprechen
Microsoft hat den Editor (Notepad) aus dem Store von einem einfachen Systemwerkzeug zu einem „neu gedachten“ Produktivitäts-Tool mit Markdown-Unterstützung und KI-gestützter Bearbeitung umgebaut (Quelle: Microsoft Store). Dieser Wandel vom schlichten Texteditor zur umfangreichen Anwendung hat sein jahrzehntealtes Sicherheitsprofil grundlegend beschädigt. Auf Hacker News wird derzeit auseinandergenommen, wie ein Werkzeug für „dummen“ Text inzwischen komplexe Befehlsausführung abwickelt.
Unter der Haube
Der zentrale technische Befund ist CVE-2026-20841, eine schwerwiegende Schwachstelle zur Remote Code Execution (RCE) mit einem CVSS-Wert von 8,8 (Quelle: CVE.org, Feb. 2026). Der Fehler ist eine direkte Folge unzureichend abgesicherter Befehlsinjektion (CWE-77) in der Logik zur Verarbeitung von Markdown-Links ab Build 11.2510 (Quelle: CybersecurityNews.com).
Ausgenutzt wird die Lücke, wenn ein Nutzer in einer Markdown-Datei (.md) auf einen bösartigen Link klickt. Dieser löst ungeprüfte Protokolle aus, die Remote-Payloads abrufen und ausführen (Quelle: Talos Intelligence). Ein Angreifer kann so beliebige Befehle mit den Rechten des angemeldeten Nutzers ausführen. Die moderne UWP/Store-Version ist betroffen, das klassische Win32-Programm Notepad.exe dagegen nicht (Quelle: Hacker News).
Noch ist unklar, ob Microsoft einen „eingeschränkten Modus“ einführt, der die Link-Verarbeitung in Systemwerkzeugen abschaltet. Ebenfalls unklar ist derzeit, ob die KI-Integration (Copilot/Recall) in den Windows-Builds von 2026 direkt mit diesem verwundbaren Markdown-Parser interagiert.
Unsere Einschätzung
Der einzige Nutzen des Editors war seine Vorhersehbarkeit. Er war der eine Ort, an dem man eine Zeichenkette einfügen konnte, ohne zu befürchten, dass der Parser darunter den Verstand verliert. Indem Microsoft einer System-Binärdatei eine Markdown-Engine aufgepfropft hat, wurde aus einem risikoarmen Werkzeug ein lohnender Phishing-Vektor. Ein klassischer Fall von Funktionswildwuchs, der sich als Fortschritt ausgibt. Löschen Sie die Store-Version, kehren Sie zur klassischen Binärdatei zurück und erledigen Sie Ihre Markdown-Arbeit in einer ordentlichen, abgeschotteten Umgebung wie VS Code.