Windows 11のメモ帳にMarkdown経由のRCE脆弱性：CVE-2026-20841の影響と今すぐできる対策

Windowsの「メモ帳」は長年“安全な素朴ツール”の代表格でした。しかし近年のモダン版メモ帳（Microsoft Store配布版）はMarkdownの表示やリンク処理などが追加され、便利さと引き換えに攻撃面も広がっています。
その結果として公表されたのが、細工されたMarkdown（.md）ファイルを起点にリモートコード実行（RCE）につながり得る脆弱性 CVE-2026-20841（CVSS 8.8） です。msrc.microsoft.com+2cve.org+2

Windows 11のメモ帳にMarkdown経由のRCE脆弱性：CVE-2026-20841の影響と今すぐできる対策

CVE-2026-20841とは何が危ないのか

この問題のポイントは「ファイルを開いただけ」では終わらず、Markdown内のリンク処理が絡むことで、状況次第では任意コード実行に結びつく恐れがある点です。一般的な流れは次の通りです。

攻撃者が細工したMarkdownファイルを用意（メール添付、チャット、共有フォルダ、社内Wiki素材など経路は多様）
利用者がモダン版メモ帳で開き、Markdown表示のリンクをクリック（環境によっては警告が出ない・弱いケースも報告）
リンクのプロトコル（http/https以外、カスタムプロトコル、SMB等）処理が不適切だと、外部/内部のリソース参照やコマンド実行につながり得る BleepingComputer+1

重要なのは、**“ユーザー操作が必要”**という条件があることです。とはいえ、攻撃側はソーシャルエンジニアリング（「手順書です」「議事録です」「このリンク確認して」など）でクリックを誘導できます。CVSS 8.8という高さは、まさに「成立条件はあるが、成立すると被害が重い」タイプであることを示しています。msrc.microsoft.com+1

影響を受けるのは「モダン版メモ帳」だけ

誤解されやすいのですが、影響範囲は全部のメモ帳ではありません。

影響あり：**Microsoft Store版のメモ帳（Windows Notepad App）**の特定バージョン（修正前）
影響なし：従来の Notepad.exe（レガシーのメモ帳） eSecurity Planet+1

さらに厄介なのは、修正の届け方です。Windowsの累積更新（いわゆるWindows Updateの月例）だけではなく、Storeアプリとして配布されるメモ帳の更新が絡みます。組織によってはStoreアプリ更新がパッチ管理の網から漏れがちなので、「OSは最新なのにアプリが古い」状態が起きやすい点に注意が必要です。eSecurity Planet+1

被害シナリオ：何が起き得るか（権限次第で深刻度が変わる）

この種の脆弱性は、実行されるコードがログイン中ユーザーの権限で動くため、環境設計で被害が大きく変わります。

ユーザーがローカル管理者権限を持つ環境：
ソフト導入、設定変更、セキュリティ無効化、機密情報アクセスなどに直結しやすい
標準ユーザー権限の環境：
それでも情報窃取、常駐（永続化）の足がかり、社内横展開の踏み台になる可能性 BleepingComputer+1

「クリックしなければ大丈夫」と考えがちですが、日常の業務ではMarkdownが“ただのテキスト”としてやり取りされることも多く、油断しやすいのが危険です。

すぐやるべき対策：個人PCと組織で分けて考える

個人・小規模環境（まずは即効性重視）

メモ帳（Store版）を最新に更新する
修正版に更新されていることが重要です。脆弱性は修正済みとして案内されています。BleepingComputer+1
Markdownファイルを開く場合は、リンクを安易にクリックしない
とくに社外から来た.md、共有フォルダに置かれた不審な.mdは要注意
“メモ帳でMarkdownを見る”運用が不要なら、Markdown表示機能を使わない／別エディタに寄せる
攻撃面を減らすのが最強の予防策です

組織・企業環境（再発防止まで含める）

Storeアプリ更新をパッチ管理に組み込む
WSUS/Intune/MDM等の運用設計で「Storeアプリ更新をどこまで担保するか」を明文化し、監査可能な形にする
プロトコルハンドラの棚卸し・制限
不要なカスタムプロトコルや危険性の高い連携を抑制し、リンククリックによる“想定外の起動”を減らす
最小権限の徹底（ローカル管理者を減らす）
万一成立しても被害を局所化でき、横展開の難度が上がります
Markdowmファイルの流通経路を見直す
メール添付、社内チャット、ファイル共有で.mdが当たり前に回っている場合は、取り扱いルール（送信元・保管場所・レビュー）を定義する eSecurity Planet+1

“便利な機能追加”が招くセキュリティの落とし穴

今回の件は、単に「メモ帳が危ない」という話ではありません。**軽量ツールに機能が足されるほど、入力（ファイル）→解釈（レンダリング）→外部連携（リンク/プロトコル）**という経路が増え、攻撃者にとって“狙う価値”が上がります。Markdownは開発・ドキュメント文化に深く浸透しているため、攻撃者が「怪しまれにくい素材」として使いやすいのも現実です。theregister.com+1

まとめ：更新＋運用で“クリック起点”を潰す

CVE-2026-20841は、ユーザー操作が必要とはいえ、成立するとRCEに発展し得る高リスクの脆弱性です。対策の要点はシンプルで、(1) モダン版メモ帳を確実に更新し、(2) Storeアプリ更新の漏れをなくし、(3) プロトコル連携と権限設計で被害を最小化すること。
「OS更新しているから安心」ではなく、「アプリ更新まで含めて最新」を基準に、今の運用を一段強くしておくのが得策です。msrc.microsoft.com+2BleepingComputer+2