在微软 2026 年 2 月周二补丁日中，修改了 58 个漏洞，其中包括 6 个被积极利用的漏洞和 3 个公开披露的零日漏洞。其中有一个被评估为高严重性的 8.8 分漏洞 CVE-2026-20841：Windows 记事本可能允许未经授权的攻击者执行恶意代码。@Appinn
注：该漏洞已修复，更新系统后即可解决此问题。
CVE-2026-20841 漏洞
这个问题源于 Notepad 在处理 Markdown 的某些输入时未能中和特殊元素，造成命令注入（command injection）风险。攻击者可以通过构造恶意内容并诱使用户打开该文件，在用户交互的情况下触发漏洞，从而执行远程代码。
主要影响 Windows 内置的现代 Notepad 应用（支持 Markdown 的记事本）。
这个漏洞与记事本新增的 Markdown 支持功能有关。记事本在解析某些特定内容时，没有正确限制或过滤某些外部协议或特殊构造。当用户打开一个精心构造的 Markdown 文件，并点击其中的特定链接或内容时，可能触发系统调用，从而执行攻击者控制的命令。
简化来说，攻击是这样的：
第一步：攻击者构造恶意 .md 文件
文件中包含特殊构造的链接或调用语法（例如触发系统协议处理）
第二步：诱导用户打开文件
比如通过邮件附件、下载链接或社交工程传播
第三步：用户点击文件中的特定内容
在特定情况下触发系统命令执行
第四步：代码在当前用户权限下执行
攻击者可以执行命令、下载恶意程序或进一步横向移动
重要的是：
- 这是 需要用户操作的漏洞
- 执行权限取决于当前用户权限