文章总结： 文章分析了CVE-2026-20841Windows记事本命令注入漏洞，纠正了网上错误的版本影响范围，指出仅新版支持Markdown的记事本受影响。作者详细提供了在Win10环境下搭建特定版本记事本的复杂流程与依赖解决方案。通过复现发现，该漏洞需诱导用户Ctrl+点击恶意链接，且本地文件执行受限，利用难度大、危害相对较低。官方已修复并增加安全弹窗提醒。 综合评分： 85 文章分类： 漏洞分析,漏洞POC,实战经验,终端安全

【附POC及复现环境】关于 “Windows记事本命令注入漏洞” 的一些真相（CVE-2026-20841）

原创

a1batr0ss a1batr0ss

天翁安全

2026年3月4日 17:01 江苏

免责声明：本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方书面授权，严禁将公众号内的任何内容用于未经授权的渗透测试、漏洞利用或攻击行为。 所有人仅可在自己合法拥有或管理的系统环境中进行本地漏洞复现与安全测试，或用于具有明确授权的合法渗透测试项目。所有人不得以任何形式利用公众号内提供的内容从事非法、侵权或其他不当活动。 如因违反上述规定或不当使用本公众号提供的任何内容，造成的一切法律责任、经济损失、纠纷及其他任何形式的不利后果，均由相关成员自行承担，与本公众号无任何关联。

不错过最新的漏洞POC

为保证您可以在第一时间接收到本公众号分享的漏洞复现及POC信息，建议您在公众号“天翁安全”主页界面将“天翁安全”设为星标。

漏洞介绍

CVE-2026-20841 是由 Microsoft 披露并修复的一个高危远程代码执行漏洞，存在于新版 Windows Notepad 的 Markdown 渲染与链接处理机制中。由于程序在解析特制的 Markdown 文件及其中嵌入的协议链接时缺乏充分的输入验证与安全限制，攻击者可以构造恶意文件并诱导用户打开并点击相关链接，从而触发未受信任的协议调用，最终在受害系统上以当前用户权限执行任意代码。该漏洞危险性较高，可能被用于投递恶意程序或建立持久化控制，官方已通过安全更新进行修复，建议用户及时升级至最新版本以降低风险。

漏洞影响版本

这边注意下，网上流传的 11.0.0<=Windows记事本<11.2510的漏洞版本是不对的。比如在11.2501.31.0版本中，记事本并没有支持Markdown格式。

因为11.2504.52.0及以上的版本中，Windows记事本才引入了轻量格式设置功能，才开始支持Markdown格式

| 产品 | 版本 | | — | — | | Windows记事本 | 11.2504.52.0 <= 版本 < 11.2510 |

环境搭建

尽量在隔离、虚拟、无用环境下进行安装，以免损坏原有环境

搭建这个环境是我花时间最多的地方，很多师傅如果不碰巧，Notepad的版本不处于利用区间，利用起来就会非常麻烦

这里我首先尝试了在任意Windows11版本上安装windows-notepad-11.2508.38.0，发现Windows内部会拒绝这个安装：“包元数据与当前系统通道不匹配”

于是后续经过程序重新打包、寻找各种依赖等过程……得出了一种解决方案：在windows10上安装新版记事本

但在win10上安装也有很多坑，比如要修改 AppxManifest.xml中的版本限制等，具体的操作就不在这里细讲了，已经为大家准备好了打包好的符合漏洞利用条件的安装包及依赖包，大家直接按照以下流程安装即可。

以下步骤涉及到的所有的安装包，详见文末“CVE-2026-20841原创复现环境”

首先安装 WindowsAppRuntimeInstall-x64.exe

接着解压 NotepadApp_11.2508.38.0_x64.zip并点击其中的appx进行安装

如果提示“应用安装程序无法安装应用包相关项。请向开发人员索要 Microsoft.VCLibs.140.00.UWPDesktop 应用包”，则双击安装 Microsoft.VCLibs.140.00.UWPDesktop.x64.appx

安装 Microsoft.VCLibs.140.00.UWPDesktop.x64.appx时如果提示“应用安装失败，错误消息: 从 (Microsoft.VCLibs.140.00.UWPDesktop.x64.appx) 使用程序……”

在管理员权限的cmd中运行以下两条命令（一共需要10-15分钟左右），并重启（一定要重启！）

DISM /Online /Cleanup-Image /RestoreHealthsfc /scannow

重启后我们继续双击安装 Microsoft.VCLibs.140.00.UWPDesktop.x64.appx，发现成功

之后我们安装一下证书：

双击`NotepadApp_11.2508.38.0_x64.cer` --> 安装证书 --> 选择“本地计算机”并下一步 --> “将所有的证书都放入下列存储”并浏览 --> 选择“受信任的根证书颁发机构”并点击确认--> 下一步 --> 完成

最后就可以双击 NotepadApp_11.2508.38.0_x64.appx进行安装（这一步必须联网，不然会安装失败），安装完成后跳出win11新版记事本。

至此我们就成功在win10上成功安装了win11的记事本，并且还是符合漏洞利用的版本！

漏洞复现

在md文件中输入 [打开任意程序、文件](file://C:/windows/system32/calc.exe)，并点击Markdown语法

接着使用 Ctrl+点击即可打开计算器（直接点击是没有用的，这也增加了利用难度）

这个利用方法说实话很鸡肋，你不仅要诱导用户使用 Ctrl+点击你的恶意超链接，还需要用户本地存在已部署的恶意文件，才能成功触发。（打开calc.exe和cmd.exe显而易见都没有什么危害）

甚至你想去打开1.bat（Windows批处理文件）时，直接报错：不合法的链接

包括网上提到的一些其他利用方法，类似WebDav的方法，首先是需要Windows端开启WebClient服务，其次中间也有很多坑，搭建了个webdav的服务器测了半天也没成功。（有兴趣的师傅也可以接着研究下，我感觉如果真能成功，理论上这种方法应该是危害最大的一种）

包括诱导用户安装appx我感觉就更是难上加难了

漏洞修复

漏洞修复后， Ctrl+点击后系统会跳出一个提示不安全的提醒框，继续降低了利用的成功率。

知识星球

“CVE-2026-20841原创复现环境”、“POC-CVE-2026-20841”、“Windows记事本命令注入漏洞复现”现已全部发布至知识星球，大家可在知识星球内获取，自行学习复现。

星球加入方式见文章底部二维码，欢迎加入交流和学习

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：天翁安全 a1batr0ss a1batr0ss《【附POC及复现环境】关于 “Windows记事本命令注入漏洞” 的一些真相（CVE-2026-20841）》