Falha no Bloco de Notas do Windows 11 permitia execução silenciosa de código

A Microsoft corrigiu uma vulnerabilidade de execução remota de código (RCE) no Bloco de Notas do Windows 11 que permitia a execução de programas locais ou remotos sem qualquer alerta de segurança do sistema. A falha explorava o suporte a Markdown, recurso recentemente incorporado ao aplicativo.

O problema, identificado como CVE-2026-20841, foi corrigido nas atualizações do Patch Tuesday de fevereiro de 2026 e afetava versões do Bloco de Notas até a 11.2510. A vulnerabilidade permitia que invasores executassem arquivos maliciosos ao induzir a vítima a clicar em links especialmente criados dentro de arquivos .md.

Desde o lançamento do Windows 11, a Microsoft reformulou o tradicional Bloco de Notas para substituir o antigo WordPad, que foi descontinuado. O novo Notepad passou a oferecer suporte a Markdown, permitindo abrir, editar e salvar arquivos .md, além de exibir textos formatados e links clicáveis.

Segundo o boletim de segurança da Microsoft, a falha envolvia injeção de comandos (command injection) por meio da neutralização inadequada de elementos especiais em links. Na prática, um invasor poderia criar um arquivo Markdown contendo links como:

• file://caminho/arquivo.exe

• ms-appinstaller://

• Outros protocolos não HTTP/HTTPS

Ao abrir o arquivo no modo Markdown e pressionar Ctrl + clique sobre o link, o Bloco de Notas executava automaticamente o programa associado sem exibir qualquer aviso do Windows.

A vulnerabilidade permitia que:

• Arquivos locais fossem executados diretamente;

• Programas hospedados em compartilhamentos SMB remotos fossem iniciados;

• URIs especiais do Windows fossem acionadas silenciosamente.

O código malicioso era executado com os mesmos privilégios do usuário que abriu o arquivo, o que poderia resultar em comprometimento total da máquina caso a vítima tivesse permissões administrativas.

A descoberta foi atribuída aos pesquisadores Cristian Papa, Alasdair Gorniak e Chen. Após a divulgação, especialistas rapidamente demonstraram como era simples criar um arquivo test.md com um link malicioso funcional.

Correção implementada pela Microsoft

A Microsoft corrigiu o problema alterando o comportamento do aplicativo. Agora, ao clicar em links que não utilizam os protocolos http:// ou https://, o Notepad exibe um alerta de segurança antes de permitir a execução.

Protocolos como:

• file:

• ms-settings:

• ms-appinstaller:

• mailto:

• ms-search:

passaram a gerar uma caixa de diálogo solicitando confirmação do usuário.

Apesar da correção, especialistas questionam por que a Microsoft não bloqueou totalmente protocolos não padrão, uma vez que ainda é possível explorar engenharia social para convencer usuários a clicar em “Sim”.

A boa notícia é que o Bloco de Notas do Windows 11 é atualizado automaticamente pela Microsoft Store, reduzindo significativamente o impacto da falha após a aplicação do patch.