Názory k článku
Updater pre Notepad++ inštaloval malware

Porovnejte si počet případů, kdy se někam dostal malware s updatem, s počtem případů, kdy se tam dostal kvůli neaktulizovanému softwaru.

Tak zrovna u mne ta statistika je jednoduchá, protože za celou mou profesní historii jsem dvakrát narazil na pokus malwaru dostat se do stroje zneužitím neaktualizované aplikace, ale přesně 4× se tam vcelku úspěšně dostal s aktualizací.
Takže kdybych to měl posuzovat takhle, jsou automatické aktualizace dvojnásob nebezpečné, než nechat to vyhnít. ;-D

Nicméně se přikláním k metodě: Aktualizuj co nejdřív, ale ručně, po ověření, že si tím něco nerozbiješ.

po ověření, že si tím něco nerozbiješ.
Jak to ověřujete?

Rika se tomu testovaci (neprodukcni) prostredi. Tahle vymozenost k vam nedosla? ;-)

Danny: Teď si nejsem jist, zda jste nám tím chtěl sdělit, že používáte Notepad++ na serverech, nebo že máte svou pracovní stanici, kde používáte Notepad++, a že k té pracovní stanici máte i testovací prostředí. Ani jedna z těch dvou vymožeností ke mně opravdu nedorazila.

Odpovídat nemusíte, vím, že zase jen trollíte. Ale nemohl jsem neocenit, že jste ze sebe za účelem trollení opět udělal hlupáka.

My než pustíme aktualizace na uživatelských pracovních stanicích, nejprve v testovacím prostředí ověřujeme, že je všechno v pořádku. Včetně aplikací typu Notepad++. Také jsme tedy hlupáci.

@NCC-1701E 12.12.2025 16:06
Mně by opravdu zajímalo, jak to u stanic testujete. Jakože máte máte standardizovanou instalaci pracovní stanice, dáte deploy této standardizované instalace do testovacího prostředí a pak spustíte pár skriptů, které nainstalují nové verze sw, která vytvoří 10 souborů, naplní je lorem ypsum textem, uloží, zkopíruje, a když to hned nespadne, tak je otestováno? Nebo k tomu posadíte brigádníka-pučmidráta, který to nainstaluje, otevře a když to nespadne, tak to pouštíte do produkce? Opravdu by mně zajímalo, co se při těch testech a jak děje.

Zažil jsem totiž jak probíhala "certifikace" elektrocentrály. Reálný příběh. Přiveze firma elektrocentrálu na atestaci. Přijde k tomu místní technický strejda a říká: "Hmm, vypadá dobře". Dvakrát do ní kopne. No, vydrží. Nastartuje je ji. "Jo, chytla a běží.". Tak schvaluju.

Tak by mně zajímalo, jak to funguje jinde.

12. 12. 2025, 12:31 editováno autorem komentáře

"Mně by opravdu zajímalo, jak to u stanic testujete"

On je tu nekdo kdo to netesutje? lol.

Jasne ze se neda otestovat 100% veskery funcionality, ale v zavislosti na tom jak je to ci ono kriticky pro fungovani te ci one firmy, tak presne v tom rozsahu se to testuje. Existujou systemy ktery se NIDKDY neaktualiuzujou. Jednoduse proto, ze pri jejich pripadnem selhani dojde k tak zasadnim skodam, ze to nikdo nebude riskovat.

Takze test muze klidne spocivat v tom, ze se vyzkousi, jestli to jde spustit.

Jinak totiz dopadnes treba takhle ....https://bor­ncity.com/win/202­5/12/08/outlo­ok-new-app-no-longer-launches-since-dec-5-2025-workaround/ ... a presne z tehle duvodu se zadny aktualizace neinstalujou "hned". Zcela bez ohledu na jejich, typicky stejne z prstu vycucanou, zavaznost.

Jasne ze se neda otestovat 100% veskery funcionality, ale v zavislosti na tom jak je to ci ono kriticky pro fungovani te ci one firmy, tak presne v tom rozsahu se to testuje. Existujou systemy ktery se NIDKDY neaktualiuzujou. Jednoduse proto, ze pri jejich pripadnem selhani dojde k tak zasadnim skodam, ze to nikdo nebude riskovat.
To tady všichni vědí a nikdo se na to neptá. Ptáme se na aplikace jako Notepad++ a typicky SOHO prostředí. Notepad++ nikdy není součástí kritického systému, který se nikdy neaktualizuje. A Notepad++ nikdy není aplikace, na které by něco důležitého záviselo. Je to pohodlnější editor – ale když náhodou nebude fungovat, zvládnete to samé oeditovat i v obyčejném Notepadu, akorát to možná bude trvat dýl.

Když tu někdo tvrdí, že všechno před nasazením testuje, tak by mne zajímalo, jak testuje třeba právě Notepad++ na domácím notebooku.

NCC-1701E: Děláte to tak i se svým soukromým počítačem? Mnoho lidí má domácí počítač nebo notebook a používají tam aplikace, které z mého pohledu vyžadují automatické aktualizace – třeba webové prohlížeče. Nebo tam používají třeba ten Notepad++. Když tu někdo tvrdí, že má automatické aktualizace vypnuté a vše nejprve testuje, zajímalo by mne, jak to dělá právě v těchto případech.

Připadá mi zbytečné řešit, jak se to dělá ve velkých sítích nebo systémech, které mají několik neprodukčních prostředí. Tam je to celkem jasné. Zajímá mne právě SOHO prostředí, pro které jsou ty automatické aktualizace určené.

Mimochodem, vy na uživatelských pracovních stanicích používáte Notepad++? Na ten problém s neověřováním certifikátů jste přišli? (Pro některé rovnou dodám, že z té otázky neplyne, že bych testovací prostředí považoval za zbytečné.)

Taky to dělám se soukromým strojem. Zvlášť když je to něco většího, provedu update na záložním laptopu a pak stejnou konfiguraci aplikuju všude. Všechno je to NixOS, takže až na drobné rozdíly mezi platformama je všude vše identické a reprodukovatelné včetně všech podstatných konfiguráků.

Všechno je to NixOS
No jo, takhle si můžu hrát s NixOS nebo s Fedora Silverblue, nebo si to ručně řešit s btrfs snapshoty.

Ale my tady diskutujeme pod zprávičkou o Notepad++. Mne by zajímalo, co má tedy dělat někdo, kdo má doma počítač s Windows, o který se třeba střídá celá rodina, nejsou to žádní ajťáci, ale přečtou si od odborníků v diskusi na Rootu, že mají vypnout automatické aktualizace a všechno testovat a aktualizovat ručně. Co konkrétně tedy má dělat ten člověk, co má doma jeden počítač s WIndows, nebo třeba i jeden počítač s Windows a jeden Macbook?

Jasne, v rodine nejsou ajtaci, ale ctou diskuze na Rootu :-) Podobny nesmysl dokaze vymyslet jen od reality odtrzeny nerd :D

Takže: naše domácí počítače jsou 4× Windows, 5× Linux, dohromady 6 strojů. (To dělá ten dualboot...) Nepoužíváme Notepdad++ - to pro upřesnění.
Když se objeví nové aktualizace (v úterý Windows, tuším ve středu Firefox...), počkám, jestli se nedočtu - třeba na Rootu ;-) - o nějakém problému, pak ve vhodný večer nastartuji virtuálku a zkusím update tam. Vyzkouším, jestli je něco na první pohled rozbité, případně jestli se to nechová divně (třeba se to nedožaduje komunikace na nečekaná místa...). Když je vše v pořádku, postupně to nainstaluji na ostatní stroje.
Více času tomu nevěnuji - ostatně, je to jen domácí prostředí...

V práci (tam Notepad++ používáme!) to mají na starosti odborníci. Ti (z důvěryhodného zdroje) připraví balíček pro update, otestují na testovacím prostředí, proženou několika antiviry, pustí na to sadu automatických testů a předhodí to testovacím uživatelům.
Když to tímhle kolečkem úspěšně projde, nainstalují se balíčky uživatelům (nebo si to můžeme dát ne servery, jest-li třeba).

RRŠ: Jen pro zajímavost – už jste někdy takhle nějaký problém odchytil?

Většinou už v prvním kroku: dočtu se to na rootu. ;-D
Ale zmatených instalací Windows jsem pár potkal (před několika lety, nic v poslední době), jeden zavirovaný FTP program (hodně dávno) a upgrade Ubuntu (22.04 na 24.04), který toho změnil tolik (např. Thunderbird/Bir­dtray), že jsem na jednom stroji zůstal na staré versi (ale už dlouho se to chystám změnit - synek dorostl, tak ty změny snáz vstřebá).
Vzhledem k tomu, že doma používám dost omezenou sadu aplikací (víceméně stejné pro Linux i Windows), tak se mi ty problémy spíš vyhnou.

Ještě si vzpomínám na update Windows, který rozsekal dualboot tak, že nechtěl nastartovat ani Linux, ani Windows. Tam se virtuálka hodila při pilování správného postupu instalace a opravy - hlavně se mi to nestalo na produkčním stroji.

No asi vas to prekvapi, ale ja si aktualizace bezne instaluji neprve na zalozni stanici, ktere primarne pro praci nepouzivam a kde mam totozny software jako na tech primarne pouzivanych stanicich. A u vetsiny aktualizaci si i otestuju, ze potom veci funguji jak maji. Ten "luxus", abych pul dne stravil (neplanovanym) opravovanim primarniho pracovniho stroje si dovolit narozdil od vas nemuzu ;-) A vlastne ani nechci...

Za hlupaka jste vy, kdyz verejne deklarujete, ze vlastne moc veci netestujete :D

Tak to teda „klobouček dolů“. V práci makáte na primární stanici a po večerech testujete aktualizace aplikací pro pracovní stroj, nebo vás v práci platí i za to testování aplikací.

Ale někdo to dělat musí, ne? Jinak vám tam může běžet cokoliv. Taky jsou i další možnosti, např placená linuxová distribuce a jen staré verze aplikací z jejích balíčků plus jedna dvě pravidelně testované IT oddělením. Nebo všechen síťový provoz přes firemní VPN, kde ho sledují a případně něco dalšího zakáží.

12. 12. 2025, 13:47 editováno autorem komentáře

A tak ono kdyz ty aplikace nejsou nejaky binarni tezkotonazni bloatware ale veci fungujici v beznem prohlizeci, tak to testovani asi zas takova cerna magie nebude, ze? :-)