[ Knights Frontier ] CVE-2026-20841 1-day 분석

 

오늘은 윈도우 Notepad에서 발견된 CVE-2026-20841에 대해 알아볼 것입니다.

 

개요

취약 버전	11.2510 미만
취약점 유형	Command Injection
영향	Code Execution
심각도	CVSS 3.1 기준 7.8 HIGH

---

취약점 원인

기존 윈도우의 Notepad는 최소한의 편집 기능만 제공했습니다.

최신 버전 윈도우에는 확장된 Notepad가 기본적으로 포함되었으며, 이 버전은 다양한 파일 형식과 Markdown 렌더링 기능을 제공합니다.

해당 취약점은 .md 파일을 렌더링한 뒤 사용자가 링크를 클릭할 때 발생했습니다.

링크에 대한 필터링이 불충분하여 file:// 및 ms-appinstaller:// 같은 프로토콜을 통해 임의의 파일을 설치하고 실행할 수 있는 취약점입니다.

---

디컴파일 코드 분석

디컴파일 코드는 ZDI에 게시된 분석 자료를 참고했으며, 해당 취약 버전은 Notepad 11.2508입니다.

https://www.zerodayinitiative.com/blog/2026/2/19/cve-2026-20841-arbitrary-code-execution-in-the-windows-notepad

Zero Day Initiative — CVE-2026-20841: Arbitrary Code Execution in the Windows Notepad

 

취약 버전의 코드를 보면, 링크 문자열에서 /, \ 문자를 제거하는 정도의 필터링만 걸려있습니다.

이후 lpFile과 lpDirectory에 값이 충분한 검증없이 설정되고, ShellExecuteExW 함수를 호출합니다.

 

즉, 사용자 링크 클릭 -> 단순 /, \ 제거 -> ShellExecuteExW (위험한 프로토콜) -> 임의 명령 실행 순서로 진행되게 됩니다.

 

이후 패치된 버전인 Notepad 11.2510.12.0 버전을 확인해보니, 패치된 코드도 최종적으로 ShellExecuteExW 함수를 호출했습니다.

하지만 패치 전과 달리, 실행 전에 링크를 검증하는 것으로 보이는 로직과 유효하지 않은 링크에 대한 오류 처리 부분이 추가된 것을 확인할 수 있었습니다.

---

테스트

윈도우 11 가상 머신에서 테스트했으며, 취약한 버전인 Notepad 11.2508.34.0 버전을 사용했습니다.

RUN CMD
[PoC](file://c:/windows/system32/cmd.exe)

 

취약 버전 Notepad에서 PoC 링크를 클릭하자 cmd.exe가 실행되는 것을 확인할 수 있었습니다.

---

결론

이번 분석을 통해 CVE-2026-20841는 Notepad의 Markdown 링크 처리 과정에서 입력값 검증이 충분하지 않아, 링크 값이 ShellExecuteExW로 전달되며 발생한 취약점임을 확인했습니다.

취약 버전에서는 링크에 대한 제한적인 필터링만 이뤄진 뒤 실행으로 진행되었고, 패치 버전에서는 링크를 검증하는 것으로 보이는 로직들과 오류 처리 로직이 추가된 것을 확인했습니다.

 

취약 버전 디컴파일 코드를 보고 패치 버전과의 차이를 직접 보고 싶어 비교를 시도해봤습니다.

깊게 분석은 못했지만, 차이를 보며 어떻게 패치되었는지 확인해볼 수 있어 재밌었습니다.