Notepad++ Perkuat Keamanan Update dengan Mekanisme “Double-Lock”

Notepad++ merilis pembaruan keamanan signifikan pada mekanisme update otomatis melalui versi 8.9.2 dengan menerapkan desain baru bertajuk “double-lock”. Langkah ini diambil setelah terungkap adanya kompromi rantai pasok (supply-chain) yang memanfaatkan celah pada infrastruktur pembaruan perangkat lunak tersebut.

Meski versi 8.9.2 menjadi implementasi penuh dari sistem baru ini, fondasinya telah mulai dibangun sejak versi 8.8.9 dengan penambahan verifikasi installer bertanda tangan digital yang diunduh dari GitHub.

Dua Lapisan Verifikasi untuk Update

Mekanisme double-lock menggabungkan dua sistem verifikasi terpisah untuk memastikan integritas pembaruan.

Lapisan pertama adalah verifikasi installer yang telah ditandatangani secara digital. Lapisan kedua memeriksa file XML pembaruan yang diambil dari domain resmi notepad-plus-plus.org. File XML tersebut kini juga ditandatangani secara digital menggunakan XMLDSig.

Dengan kombinasi dua mekanisme ini, tim pengembang menyatakan proses update menjadi jauh lebih tangguh dan secara efektif tidak dapat dieksploitasi melalui metode yang sebelumnya digunakan dalam serangan.

Perubahan Keamanan Tambahan

Selain penerapan double-lock, sejumlah perubahan keamanan lain juga diterapkan pada fitur auto-updater, di antaranya:

• Penghapusan libcurl.dll untuk menghilangkan risiko DLL side-loading
• Penghapusan dua opsi SSL cURL yang tidak aman, yaitu CURLSSLOPT_ALLOW_BEAST dan CURLSSLOPT_NO_REVOKE
• Pembatasan eksekusi manajemen plugin hanya untuk program yang ditandatangani dengan sertifikat yang sama seperti WinGUp

Pengguna juga diberikan opsi untuk menonaktifkan auto-updater saat instalasi melalui antarmuka pengguna, atau saat deployment MSI dengan parameter NOUPDATER=1.

Latar Belakang Serangan Supply-Chain

Awal bulan ini, tim Notepad++ bersama peneliti dari Rapid7 mengungkap bahwa infrastruktur update mereka telah dikompromikan dalam kampanye yang berlangsung selama enam bulan dan dikaitkan dengan kelompok ancaman Lotus Blossom.

Sejak Juni 2025, pelaku berhasil menyusupi penyedia hosting yang menjalankan server updater Notepad++. Permintaan pembaruan dari pengguna tertentu kemudian dialihkan secara selektif ke server berbahaya.

Serangan tersebut memanfaatkan kelemahan dalam mekanisme verifikasi update pada versi perangkat lunak lama dan berlangsung hingga terdeteksi pada 2 Desember 2025.

Analisis Rapid7 menunjukkan bahwa pelaku menggunakan backdoor khusus bernama “Chrysalis” sebagai bagian dari rantai serangan.

Langkah Mitigasi dan Rekomendasi

Sebagai respons, proyek Notepad++ segera memigrasikan infrastruktur ke penyedia hosting baru, mengganti kredensial, serta memperbaiki celah yang dieksploitasi dalam kampanye tersebut.

Tim pengembang merekomendasikan seluruh pengguna untuk segera memperbarui ke versi 8.9.2 dan memastikan installer selalu diunduh dari domain resmi notepad-plus-plus.org.

Dengan penguatan sistem verifikasi ganda ini, Notepad++ berupaya memastikan bahwa proses pembaruan ke depan lebih aman dan terlindungi dari ancaman kompromi rantai pasok.