Jak zaktualizować Notepad++ do najnowszej wersji?

Notepad++ to jeden z najpopularniejszych edytorów tekstu na Windowsa, ceniony za lekkość, rozbudowane podświetlanie składni i darmowy charakter.

Wersja 8.9.1 (26 stycznia 2026) to najnowsza stabilna odsłona wprowadzająca najważniejsze poprawki bezpieczeństwa po głośnym ataku z 2025 roku. Aktualizacja jest prosta, ale powinna być wykonana manualnie – wyłącznie poprzez pobranie instalatora z oficjalnej strony, aby zminimalizować ryzyko złośliwego oprogramowania.

W tym artykule znajdziesz instrukcję krok po kroku, wyjaśnienie, dlaczego w tej chwili nie zaleca się autoaktualizacji, omówienie zmian po incydencie oraz wskazówki, jak zweryfikować autentyczność pobranych plików. Przedstawiamy też tło ataku, nowości w programie i najlepsze praktyki dla użytkowników domowych oraz administratorów IT.

Tło incydentu – złośliwe aktualizacje Notepad++ w 2025 roku

W 2025 roku Notepad++ padł ofiarą zaawansowanego ataku typu supply chain, w którym – według analiz ekspertów – aktorzy sponsorowani przez państwo przejęli kontrolę nad serwerem aktualizacji. Mechanizm WinGup (wbudowany aktualizator) kierował część użytkowników do zainfekowanych instalatorów zawierających malware.

Atak ujawnił słabości w infrastrukturze: manipulacja hostingiem umożliwiła podstawienie złośliwych plików XML z linkami do fałszywych aktualizacji. Nie był to zwykły phishing, ale precyzyjne naruszenie łańcucha dostaw, porównywane do głośnych incydentów na skalę branżową. Po zdarzeniu twórcy przenieśli witrynę do nowego dostawcy hostingu i zmodernizowali system aktualizacji.

Dlaczego nie używać autoaktualizacji – zalecenia twórców

Twórca Notepad++, Don Ho, zaleca ręczną aktualizację do wersji 8.9.1 wyłącznie z oficjalnej strony, unikając mechanizmu WinGup, który mógł zostać skompromitowany podczas ataku. W środowiskach firmowych warto przejrzeć logi z okresu incydentu pod kątem podejrzanej aktywności aktualizacyjnej.

Od wersji 8.8.9 WinGup weryfikuje certyfikat i podpis cyfrowy instalatora, a pliki XML są podpisywane zgodnie ze standardem XMLDSig. W nadchodzącej wersji 8.9.2 (planowanej na marzec 2026) pełna walidacja ma stać się obowiązkowa, co uniemożliwi podmianę kodu bez klucza prywatnego twórców. Na teraz najbezpieczniej jest aktualizować manualnie.

Krok po kroku – jak pobrać i zainstalować Notepad++ 8.9.1

1. Odwiedź oficjalną stronę – przejdź na adres: https://notepad-plus-plus.org/downloads/. Wybierz sekcję: Pobierz Notepad++ v8.9.1 (stabilna: automatyczna aktualizacja uruchomiona) z datą wydania 2026-01-26.

2. Wybierz odpowiednią wersję architektoniczną – skorzystaj z poniższego zestawienia:

   Architektura Opcje pobrania Zalecenie

   x64 (64-bit)	instalator (EXE), wersja przenośna (ZIP/7z), MSI	najpopularniejsza dla nowoczesnych PC
   x86 (32-bit)	instalator, wersja przenośna (ZIP/7z)	dla starszych systemów
   ARM64	instalator, wersja przenośna (ZIP/7z)	dla urządzeń z procesorami ARM, np. nowszych Surface

   Do każdego pliku dostępny jest podpis GPG oraz skrót SHA-256 do weryfikacji integralności.

3. Pobierz i zweryfikuj integralność – wykonaj poniższe czynności:

   • użyj klucza publicznego GPG Notepad++ do weryfikacji podpisu: gpg --verify plik.asc plik.exe,
   • sprawdź sumę kontrolną SHA-256 (publikowaną na oficjalnych repozytoriach),
   • unikaj stron trzecich i reklam – korzystaj wyłącznie z oficjalnego serwisu.

4. Instalacja – postępuj zgodnie z tymi wskazówkami:

   • uruchom instalator jako administrator (zachowa ustawienia, jeżeli instalujesz na tę samą ścieżkę),
   • wersja przenośna nie wymaga instalacji – rozpakuj i uruchom notepad++.exe,
   • wersja MSI jest przeznaczona dla środowisk korporacyjnych i wdrożeń przez Zasady grupy,
   • po instalacji zamknij starą instancję Notepad++ i uruchom nową – ustawienia migrują automatycznie.

5. Sprawdź wersję – w menu Pomoc > Informacje debugowania potwierdź numer 8.9.1.

Nowe funkcje i poprawki w wersji 8.9.1

Oprócz wzmocnienia zabezpieczeń, aktualizacja obejmuje następujące ulepszenia:

• naprawiono cofanie zmian po makrach (fix #9426),
• usunięto błędy wizualne przy przenoszeniu dialogów na drugi monitor (fix #16805),
• poprawiono przełączanie trybów wyszukiwania (RegEx/Extended) (fix #17227),
• zaktualizowano bibliotekę Boost do wersji 1.90.0,
• ulepszono podświetlanie składni: JavaScript, Perl 5.42, PHP, TCL; dodano wsparcie dla Nim w liście funkcji,
• w oknie „Znajdź” dodano ostrzeżenia o niewidocznych znakach.

Starsze wydania, takie jak 8.8.9 (poprawki podatności) czy 8.8.7 (wzmocniona autentyczność), pozostają dostępne, jednak 8.9.1 to rekomendowane minimum.

Najlepsze praktyki bezpieczeństwa dla użytkowników Notepad++

Aby zminimalizować ryzyko po incydencie, zastosuj poniższe zalecenia:

• wyłącz autoaktualizacje tymczasowo – w Ustawienia > Preferencje > Automatyczna aktualizacja odznacz odpowiednią opcję,
• używaj antywirusa z heurystyką – złośliwe oprogramowanie z ataku potrafiło omijać proste sygnatury,
• w środowiskach firmowych – skanuj logi WinGup (ścieżka: %APPDATA%\Notepad++\updater) i ograniczaj aktualizacje regułami firewalla,
• rozważ alternatywy – jeżeli obawiasz się ryzyka, przetestuj VS Code lub Sublime Text; Notepad++ pozostaje jednak liderem lekkości.

Przyszłość – wersja 8.9.2 i lekcje z ataku

W marcu 2026 spodziewana jest wersja 8.9.2 z pełnym egzekwowaniem walidacji podpisów. choćby przejęty serwer aktualizacji nie powinien wówczas pozwolić na dystrybucję złośliwego pliku.

Incydent podkreśla znaczenie podejścia zero-trust w aktualizacjach open source: zawsze weryfikuj źródło, podpis i sumę kontrolną.

Zaktualizuj Notepad++ manualnie już dziś – to nie tylko nowości, ale przede wszystkim ochrona przed przyszłymi zagrożeniami. W razie problemów zajrzyj na wątek społeczności: https://community.notepad-plus-plus.org/topic/27369/notepad-v8-9-1-release.