微软于2026年2月10日发布的安全更新 KB5077181 中，修复了一项存在于记事本（Notepad）中的严重漏洞。该漏洞编号为CVE-2026-20841，属于远程代码执行（RCE）类高危缺陷，可能使攻击者在未经用户许可的情况下远程控制受影响的Windows设备。
漏洞原理与风险分析
该漏洞存在于Microsoft Store版本的现代记事本应用中，尤其在处理以.md扩展名标识的Markdown文件时表现尤为突出。其根本原因在于：当应用程序解析包含特殊字符或恶意构造内容的命令时，未能正确进行输入清理或有效阻断危险操作。
攻击者可借此创建一个伪装成正常文本文件的恶意Markdown文件，其中嵌入经过精心设计的超链接。一旦用户使用记事本打开该文件并点击其中某个链接，系统将自动执行嵌入的脚本，进而下载并运行恶意程序。若攻击成功，攻击者即可获得对目标设备的完全控制权以及所有相关权限。
威胁评级与缓解建议
根据CVSS v3.1标准，此漏洞的基线评分为8.8（高严重性），微软官方将其列为“重要”级别。截至目前，微软尚未发现该漏洞存在公开利用的案例。
为防范潜在风险，强烈建议所有Windows用户及时安装最新的系统更新，确保记事本应用及相关组件保持最新状态。可通过系统更新通道获取补丁，推荐启用自动更新功能以维持系统安全性。
背景争议与产品设计反思
此次漏洞的曝光引发部分用户对记事本网络功能合理性的质疑。有观点认为，作为一款基础文本编辑器，记事本不应具备持续联网能力。然而，这一特性实际上是支持集成AI助手Copilot功能所必需的技术要求——仅当记事本具备网络连接权限时，方可实现与Copilot的实时交互和智能化功能。
尽管如此，关于“记事本是否必须搭载人工智能功能”的讨论仍持续升温。一些评论指出，此举可能模糊了核心工具的应用边界，导致功能冗余与安全风险的扩大，值得进一步权衡。
信息来源与参考
更多信息请参阅微软官方安全公告：CVE-2026-20841 漏洞详情页。
