대규모 공급망 공격에 악용됐던 노트패드++, 지금 즉시 ‘보안 업데이트’ 하세요

[3줄 요약]
1. 무료 오픈소스 텍스트 및 코드 편집기 노트패드++, 공급망 공격으로 해킹 피해
2. 중국 연계 해킹그룹 ‘Lotus Panda’ 소행으로 추정
3. 보안 취약점 해결한 8.9.2 버전으로 업데이트 필수

[보안뉴스 김형근 기자] 지난해 발생한 대규모 공급망 공격에 악용된 텍스트 및 코드 편집기 노트패드++(Notepad++)의 보안 취약점을 해결한 8.9.2 버전이 18일 발표됐다.

Windows 환경에서 동작하는 무료 오픈소스 텍스트 및 코드 편집기인 노트패드++는 개발자와 일반 사용자 모두에게 매우 유용한 프로그램으로 평가받고 있다. 이 프로그램은 2025년 6월부터 12월 사이 중국 연계 해킹그룹의 정교한 공급망 공격으로 해킹 피해를 입었다.

노트패드++ 8.9.2 버전은 업데이트 매커니즘에서 설치 프로그램에 더해 업데이트 서버 XML 서명 확인을 거치는 이중 검증을 도입해 공급망 공격을 차단한 것이 핵심이다. 또한 자동 업데이트 모듈을 개선해 DLL 사이드 로딩 위험과 취약한 SSL 옵션을 제거했으며, 플러그인 실행을 동일 인증서로 서명된 프로그램으로 제한헸다.

이와 함께 잘못된 탐색 경로로 인해 임의 코드 실행이 가능했던 보안 취약점(CVE-2026-25926)도 해결한 것으로 알려졌다.

이번 조치는 2025년 6월부터 특정 사용자 업데이트 요청을 악성 서버로 리디렉션해 오염된 업데이트를 배포할 수 있도록 한 대규모 공급망 공격 사건(CVE-2025-15556)이 지난해 12월 초 탐지된 이후 발표된 것이다.

중국 연계 해킹그룹 ‘Lotus Panda’ 소행으로 추정되는 공격자들은 변조된 업데이트를 통해 Chrysalis 백도어를 배포함으로써 공급망 공격을 감행했다.

이에 노트패드++ 사용자들은 반드시 8.9.2 버전으로 업데이트하고, 공식 도메인에서 설치 파일을 다운로드 받아야 한다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다