メモ帳でコード実行

メモ帳というアプリケーションがあります。
いろいろなものがあると思いますが、ここでは、Microsoft Windowsに標準で搭載されているメモ帳アプリ（notepad.exe）の話です。
このメモ帳において、非常に気になる脆弱性が案内されています。

• CVE-2026-20841
  これは、2026年2月のMicrosoft Tuesdayで更新された脆弱性の一つです。
  CVSS Baseスコアは7.8で、重要に分類されます。
  攻撃者は、ユーザを誘導してメモ帳で開いたマークダウンファイル内の悪意のあるリンクをクリックさせ、アプリケーションに未検証のプロトコルを起動させ、リモートファイルを読み込み、実行させる可能性があります。
  混乱しやすいので言い換えますと、これは、攻撃の起点がローカルの脆弱性です。
  脆弱性がある状態のメモ帳でMarkdownファイル（.md）を開く場合、メモ帳アプリのコマンドで使用される特殊要素の不適切な無効化（「コマンド インジェクション」）により、権限のない攻撃者がネットワーク経由でコードを実行できるようになります。
  リモートの攻撃者が細工されたテキストファイルを用意し、それをClickFixなどのなんらかの手法で被害者にメモ帳で開かせると、被害者の手元でローカルやリモートの任意のコマンドを実行させることができる内容となっています。

メモ帳は基本的にはテキストファイルを扱います。
セキュリティの分野で考える場合、テキストファイルは安全な部類のファイルであるというイメージが強いのではないでしょうか。
「.exe」の実行ファイル、「.scr」のスクリーンセーバー形式の実行ファイル、「.bat」バッチファイル形式の実行可能ファイル、「.js」のWebページに動きやインタラクティブな機能を与えるプログラミング言語「JavaScript」のソースコードを保存する拡張子のファイル、など、いろいろなコード実行を連想させるファイル形式は多くあります。
しかしテキストファイルをメモ帳で開くというのは、かなり安全なイメージなのではないでしょうか。
今回、この一般的なイメージが覆される内容だったと感じます。

この脆弱性の対策はすでに提供されています。
更新を適用すれば、この問題そのものは解消されます。

セキュリティ対策の分野で、ここは大丈夫だというような安全地帯はありません。
取り扱おうとしているものがexeファイルだから危険で注意が必要、などということではなく、たとえそれがテキストファイルだったとしても、脅威活動に関連する内容につながってしまうこともあるということになります。
自分が今何をしようとしているのか、その活動は妥当なものなのか、入手したものの入手元は想定したものなのか、など対象の種別に関係なく、注意することが必要と考えることがよさそうです。

メモ帳でコード実行、驚きの情報でした。

Windows Notepad アプリのリモートでコードが実行される脆弱性
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20841