EmEditor v26.1.0 发布——更新证书、更快性能与增强的 AI 功能

/in /by

更新证书：下载 MSI 安装程序时，Microsoft Defender SmartScreen 等安全功能可能会暂时阻止下载。这可能是因为数字签名证书仅在几天前刚刚续期，尚未积累足够的公众信誉。如果看到此警告，继续下载是安全的。如果无法下载安装程序，可能需要更改浏览器的安全设置。如果仍然无法下载，请等待几天后再试。下载完成后，请验证数字签名是否由“Emurasoft, Inc.”签署。新数字签名中的电子邮件字段显示为“Not Available（不可用）”。

我们很高兴宣布 EmEditor v26.1.0 正式发布。

在 EmEditor v26.0 中，我们引入了对快速打开超大文件的支持，这类文件由单行构成且不包含换行符。不过，能快速打开这类文件只有在随后横向滚动与编辑依然流畅时才有意义。在 v26.1 中，我们通过算法调整、基于 SIMD 的优化以及其他改进，进一步提升了性能，使得打开这些文件后横向滚动与编辑更加顺滑。我们也对许多包含换行符的大文件操作进行了优化。文档中展示的基准测试结果只是我们测试的一部分，但已显示相比上一版本性能提升了 1.34 到 6.06 倍。还有许多其他操作也得到了改进，从而带来更好的整体性能。

本次发布还包含根据客户反馈做出的改进。例如，当在 EmEditor 中打开的文件被其他应用程序修改时，如果外部应用程序临时锁定了文件，重新加载可能会失败。在 v26.1 中，EmEditor 会在重新加载前等待几毫秒；如果仍然失败，消息框现在会包含一个重试按钮。

在保存多个未保存的文档时，“是否保存更改？”消息框中提供全部应用选项。EmEditor 现在也会记住该选项的初始状态。

在 EmEditor v25.2 及更早版本中，对文件进行排序时，如果你正在查看文件开头，文档不会随之滚动。从 v25.3 起，我们更改了这一行为：排序后，EmEditor 会滚动到排序前光标所在行的新位置。尽管这被认为是更正确的行为，但我们收到了反馈，认为这降低了使用便利性。因此在 v26.1 中，我们新增了排序时光标会移动到正确的位置选项，并默认恢复原来的行为。不过，在使用按相似度排序命令时，文档仍可滚动，以便光标移动到正确位置。

EmEditor v26.1 还对 ChatAI 插件进行了多项改进。在早期版本中，AI 提示功能对所有提示仅允许使用一个供应商（如 OpenAI 或 Google）以及一个模型（如 GPT-4 或 Gemini 2.5 Flash）。这意味着如果你想针对不同提示使用不同供应商或模型，就必须每次都更改设置。在此版本中，自定义对话框中的 AI 提示页面允许你为每个 AI 提示单独选择供应商和模型。例如，你可以在短时间内用不同供应商或模型连续询问同一个问题，并对比回复。你也可以为每个提示分别设置不同的推理工作量、文本冗长程度以及网页搜索选项。

Makoto Emura 在与 AI 聊天（Chat with AI）插件中新增了对 Anthropic 供应商的支持，加入到此前已支持的 DeepSeek、Google、OpenAI 与 LMStudio/OpenAI 兼容供应商之列。文件上传功能此前仅支持 OpenAI，现在也可用于 Google 供应商。同样地，工具调用（Tool Calling）此前仅支持 OpenAI 与 DeepSeek，现在也支持 Anthropic 与 Google 供应商。

我们还为工具调用功能新增了一个 PowerShell 工具。例如，如果你询问“列出 D:\Test 文件夹中扩展名为 .md 的文件”，EmEditor 可以显示该文件夹中 Markdown 文件的列表。由于 PowerShell 命令可能影响重要文件，EmEditor 会在执行命令前显示一个确认按钮。只有在你点击确认后才会执行命令，从而帮助你安全使用该功能。

当你运行 EmEditor 的重置所有设置命令时，之前所有与 AI 聊天的历史也会被删除。另外，此版本新增了聊天导入与导出功能。在运行重置所有设置之前，你可以先将聊天导出到文件，之后再导入以恢复之前的对话。

请注意：要使用 AI 功能（包括与 AI 聊天），除了 EmEditor 之外，你还必须安装 ChatAI 插件。

我们还修复了在预览版中发现的问题。

我们希望 Pro 与 Free 版本都能符合您的期望。如果您有问题、功能需求或想法，请联系我们。

感谢您一直以来对 EmEditor 的支持。
— Yutaka Emura

更多详情（包括主要变更与截图）请参见 Version 26.1 新增特性。

如果您使用的是桌面安装程序版本，请在“帮助 > 检查更新”中进行更新。如果无法更新，请下载最新版本并运行安装程序。我们预计 Microsoft Store 版本将在未来几天内发布。如果您直接下载 MSI，请确认数字签名为 Emurasoft, Inc. 签署。

作为安全改进一部分的域名变更

/in /by

作为我们持续提升安全性的努力的一部分，我们将更新用于帮助和下载的域名：

  • 帮助： https://www.emeditor.org → https://help.emeditor.com
  • 下载： https://download.emeditor.info/ → https://download.emeditor.com/

通过此次变更，我们所有的官方资源都将托管在 emeditor.com 或其子域名下。当您在 URL 中看到 emeditor.com 时，可以确信该网站是真实且安全的。

如果您访问当前域名，系统会自动将您重定向到新域名，因此您无需执行任何操作（除非您是 IT 管理员）。此变更计划于 2026 年 5 月 4 日进行。

IT 管理员注意事项

如果您的组织使用防火墙来控制 EmEditor 下载，请将 download.emeditor.com（端口 80 和 443）加入白名单，并允许程序 eeupdate.exe 访问，以确保更新能够不间断地下载与分发。

另请参阅：“EmEditor 的子域名有哪些？”

EmEditor v26.0.3 发布！

/in /by

EmEditor v26.0.3 现已推出。本次发布侧重于稳定性，并包含以下修复。我们建议更新到最新版本以获得最佳体验。

  • 修复了在 v26.0.0 中引入的一个问题：当对包含换行符的多重选择执行“替换”或“删除”时，可能会导致崩溃。
  • 修复了在 v26.0.0 中引入的一个问题：某些操作（例如“查找”“替换”和筛选）可能不会被记录到宏中。
  • 修复了在 v26.0.0 中引入的一个问题：标准“打开”对话框中的“文件类型”列表有时可能显示不正确。

如果你使用桌面安装程序（Desktop Installer）版本，请通过“帮助 > 检查更新”进行更新。如果无法更新，请下载最新版本并运行安装程序。我们预计 Microsoft Store 版本将在未来几天内发布。如果你直接下载 MSI，请确认其数字签名由 Emurasoft, Inc. 签署。

EmEditor v26.0.2 发布！

/in /by

EmEditor v26.0.2 现已发布。本次更新重点提升稳定性，并包含以下列出的修复。我们建议更新到最新版本，以获得最佳体验。

  • 修复了 v26.0.0 中的回归问题：在某些情况下，对非常大的非 UTF‑8 文件进行搜索、替换或筛选时可能导致应用崩溃。
  • 修复了在编辑包含代理对字符时可能发生的问题。
  • 修复了 v26.0.0 中批处理查找/替换列表的回归问题：同时移动多个选中项向上或向下时无法正常工作。

如果您使用的是桌面安装程序版本，请在“帮助 > 检查更新”中进行更新。如果无法更新，请下载最新版本并运行安装程序。我们预计 Microsoft Store 版本将在未来几天内发布。如果您直接下载 MSI，请确认数字签名为 Emurasoft, Inc. 签署。

EmEditor v26.0.1 发布！

/in /by

EmEditor v26.0.1 现已推出。此更新修复了与安装程序相关的问题。自 v26.0.0 起，程序本身没有任何更改。

EmEditor v26.0.0 发布——更快的打开/替换、彩色字体、收藏夹，以及与 AI 聊天

/in /by

我们今天发布了 EmEditor v26.0.0。

为了提升网页加载速度，开发者经常会对 JavaScript、CSS 和 HTML 进行“压缩（minify）”，也就是去掉换行和空格。同样地，像 XML 和 JSON 这样的数据格式也可能被压缩成单行，以便作为连续流更容易处理，即使这会损害可读性。有些科学数据甚至更极端——例如基因组序列（A、T、G、C）可以被存储为一条不断开的字符串，长度可达数十亿字符。这类文件正变得越来越常见，我们也经常听到用户反馈它们会让 EmEditor 变慢。由于这些文件包含异常长的单行内容，会对性能造成显著影响。在 v26.0 中，我们使用多线程和 SIMD 重新审查并优化了内部代码，我们的测试显示，与上一版本相比，打开/搜索/替换性能提升了 2.2× 到 666×。

EmEditor 从早期就支持 Unicode，但过去输入一些不易键入的字符——例如生僻汉字、外语字符或表情符号——并不方便。您必须打开 插入 > 特殊字符（Ctrl+Shift+I），输入代码值，插入字符，并在每次都重复这一流程。在 v26.0 中，我们将该对话框重新设计为一个可自定义的栏，可在工作时保持打开。它现在还支持按 Unicode 名称和 Unicode 区块搜索，用大字号易读字体显示结果，并可用彩色渲染支持彩色显示的字符（例如表情符号）。例如，搜索 “smiling” 会返回许多笑脸表情。

字符代码值对话框（Ctrl+I）也已更新，可用大号彩色字体显示字符，让复杂字符和表情符号更容易识别。

根据客户反馈，我们扩展了收藏夹功能。除了文件外，现在也可以将文件夹注册为收藏夹。选择某个文件夹会打开打开文件对话框，以便您选择想要的文件。我们还改进了拖放行为：当您从资源管理器拖入多个文件时，如果列表中已经存在同名文件（且未指定行/列），EmEditor 将不会重复添加。

用于 加粗、斜体 和 代码 的 Markdown 命令现在即使在未选中文本时也能生效。例如，当您在未选择任何内容的情况下执行 Markdown 加粗命令，然后开始输入时，您输入的文字将以加粗形式插入。

长期以来以非模态窗口提供的撤销/重做历史 对话框，现已转换为一个自定义栏。这样您就能更方便地把历史记录固定显示在合适的位置，同时继续编辑。

Makoto Emura 增强了他的与 AI 聊天和提交列表插件。在与 AI 聊天中，我们在输入框左侧新增了 “+ 文件” 按钮：如果您使用的是 OpenAI 模型，就可以将选中的文件上传到提示词中。这不仅让您比手动输入或粘贴更容易发送大量内容，还能附加诸如 HTML、PDF、Word 等受支持的文件。该功能使用了 OpenAI 的文件搜索功能。上传文件通常比将整个文件文本粘贴到聊天中消耗更少的令牌。我们还新增了在聊天历史（过往对话）中搜索的功能。请注意，AI 功能（包括与 AI 聊天）除了 EmEditor 之外，还需要安装单独的 ChatAI 插件。

在提交列表中，我们改进了多项操作的性能，包括显示变更列表和提交历史。

我们还修复了在预览版本中发现的问题。

我们希望 Pro 与 Free 版本都能符合您的期望。如果您有问题、功能需求或想法，请联系我们。

感谢您一直以来对 EmEditor 的支持。
— Yutaka Emura

如需查看包含主要变更与截图在内的详细信息，请参阅 Version 26.0 新增特性。

如果您使用的是桌面安装程序版本，请在“帮助 > 检查更新”中进行更新。如果无法更新，请下载最新版本并运行安装程序。我们预计 Microsoft Store 版本将在未来几天内发布。如果您直接下载 MSI，请确认数字签名为 Emurasoft, Inc. 签署。

EmEditor 现在下载更安全

/in /by

EmEditor 现在获取更安全、更便捷

EmEditor 桌面安装程序现也可通过 Microsoft Store 获取。
Microsoft Store 上提供的桌面安装程序，对 EmEditor Professional 和 EmEditor Free 均为同一个程序 （您将获得同一款应用，并根据您的许可证/使用方式来使用）。

我们还改进了我们的官方网站（www.emeditor.com），让您能更安心地下载 EmEditor。

  • EmEditor 桌面安装程序 现可从 Microsoft Store 获取。
  • 即使您无法使用 Microsoft Store，仍可从我们的官方网站安全下载 桌面安装程序 。
  • 我们的网站已重建为基于静态 HTML 的站点，与动态网站相比，可降低网站被篡改等风险。
  • 该网站现托管在 Cloudflare Workers 上，并采用严格的安全控制。Cloudflare 的基于角色的访问控制与企业级身份验证标准有助于确保只有授权更改才能进行，因此您可以信任所看到的内容确实来自我们。

我们将继续仅通过我们的网站及其他授权分发渠道提供官方安装程序 。
为确保您的安全，请从我们的官方网站或 Microsoft Store 等可信来源下载 EmEditor。

从 Microsoft Store 下载

其他下载

EmEditor v25.4.5 发布！

/in /by

EmEditor v25.4.5 现已可用。本次更新主要聚焦于稳定性，并包含以下修复。我们建议更新到最新版本以获得最佳体验。

  • 修复了当 CommitList 插件处理 Unicode 路径时可能发生的崩溃。
  • 修复了存放在可移动驱动器上的便携版在产品注册方面可能受到影响的问题。
  • 修复了在某些情况下“关于”对话框中显示的产品注册信息不正确的问题。
  • 更新了用于 Microsoft 商店提交的 UI。

如果你使用的是桌面安装程序版本，请前往 帮助 → 检查更新 下载最新版本。如果无法更新——或你当前未安装 EmEditor——请下载安装程序并运行。

EmEditor（桌面安装程序）现也可从 Microsoft 商店获取：


从 Microsoft 商店下载桌面安装程序（推荐）

对于较早版本的 Windows，你可以直接在 此处 下载安装程序。

如果你直接下载 MSI 文件，请验证数字签名是否由 “Emurasoft, Inc.” 签署：

  1. 右键单击已下载的文件并选择 属性。
  2. 打开 数字签名 选项卡。
  3. 确认签名者为 Emurasoft, Inc.。
  4. 除非签名者为 Emurasoft, Inc.，否则在任何情况下都不要安装该文件。

EmEditor 的更新检查器会自动验证 MSI 的签名者；如果签名者不是 Emurasoft, Inc.，将取消更新。

或者，你也可以验证 SHA-256 哈希值：

  • emed64_25.4.5.msi: 0035f22bc12f565e9fe904eabccd24a608903b4d76e8bda2ec758bfcd18b12e9
  • emed64_25.4.5_portable.zip: 3e2e56fd146aff6324896893265a943058cf50905acb5130d14be12464bca5ea
  • chatai64_25.4.5.msi: f9601e5ec55033aa7bcd0cdcd24e92f6db24321948c15e798605e4781d170c27
  • chatai64_25.4.5_portable: 7e662f206947ea29289d3d755753190073d76b3f051dd6e1210224849441d3e5
  • emed_help_en_25.4.5.msi: 2ed200c42b210d4dbabb9050094f059d4de9b9c5cebb8260b5b9f35591c74990
  • emed_help_ja_25.4.5.msi: 4bc21dbe4a5906c6f3a513fa0b049cf9ad953889c58b61f6018a8133a1fc3207
  • emed_help_zh-cn_25.4.5.msi: 4c0854c141be7f9ddd70528303cee4d470a97eb10e40e6e3e59afe7d2d3fa12a
  • emed_help_zh-tw_25.4.5.msi: 877cd8192c2b6c4c676d7a31a3953daeb4e41adc0497c4fc565d26e333e28e22

如果你使用桌面便携版，请访问下载页面获取最新版本。商店应用版本将在几天后可通过 Microsoft 商店更新。

EmEditor v25.4.4 发布！

/in /by

EmEditor v25.4.4 现已推出。本次版本侧重于稳定性，并包含以下修复。我们建议更新到最新版本以获得最佳体验。

  • 更新了某些状态栏项目，使其仅在双击时才会激活，从而有助于防止误操作。
  • 修复了当相关开关关闭时，状态栏工具提示（只读模式及其他指示）并不总是显示的问题。
  • 修复了在大型 HTML 文件中高亮匹配标签可能不可靠的情况。
  • 更正了将包含 NUL（NULL）字符的文件作为文本文件打开时的行为。
  • 修复了在某些条件下在文件中替换可能导致崩溃的问题。
  • 修复了影响某项同步功能的问题。
  • 允许在启用筛选时仍可显示大纲栏。
  • 修复了在使用无效的数字范围语法进行筛选时可能导致崩溃的问题。
  • 修复了在某些条件下注册信息/关于对话框中可能显示错误信息的问题。
  • 修复了在自定义对话框的 AI 提示页面中选择复制时的行为问题。
  • 修复了当 Windows 显示语言设置为不受支持的语言时，UI 可能切换为中文（而不是英语）的问题。

如果您使用的是桌面安装程序版本，请前往帮助 → 检查更新，下载最新版本。如果该方法无效，请下载安装程序（emed64_25.4.4.msi） 并运行。

如果您直接下载 MSI 文件，请验证其数字签名是否由 “Emurasoft, Inc.” 签署：

  1. 右键单击已下载的文件并选择属性。
  2. 打开数字签名选项卡。
  3. 确认签名者为 Emurasoft, Inc.
  4. 除非签名者为 Emurasoft, Inc.，否则在任何情况下都不要安装该文件。

EmEditor 的更新检查器会自动验证 MSI 的签名者；如果签名者不是 Emurasoft, Inc.，将取消更新。

另外，您也可以使用以下 SHA-256 哈希值进行校验：

  • emed64_25.4.4.msi: 09e884896467b8fa574b2adf22d792e039774b8fb1300ec26a59c951937eaa3c
  • chatai64_25.4.4.msi: f4db8fe290d3d5d44bd08461da24f168a73b085c6d589687f41b0a9a820556e8

如果您使用桌面便携版，请访问下载页面获取最新版本。商店应用版本可在数日后通过 Microsoft 商店更新。

【重要】后续：关于 EmEditor 安装程序下载链接的安全事件通知

/in /by

继我们先前发布的《【重要】关于 EmEditor 安装程序下载链接的安全事件通知》（www.emeditor.com）之后，我们在进一步调查中获得了更多信息，现与补充细节一并分享，以完善先前的通知内容。

我们再次就本次事件造成的严重担忧与不便，向大家致以诚挚的歉意。

1. 可能受影响的时间范围（美国太平洋时间 / UTC）

在之前的通知中，我们提供了美国太平洋时间的范围。为便于参考，这里也同时给出协调世界时（UTC）。

  • 2025 年 12 月 19 日 18:39 – 2025 年 12 月 22 日 12:50（美国太平洋时间）
  • 2025-12-20 02:39 – 2025-12-22 20:50（UTC）

如果您在上述期间通过 EmEditor 网站的下载路径（例如点击“Download Now”按钮）下载了安装程序，则有可能下载到的文件并非由我们（Emurasoft, Inc.）提供的合法安装程序。

请注意：出于极度谨慎，我们将上述时间范围刻意设置得较宽。实际受影响的窗口可能更短，且仅发生在特定时间段。

2. 关于可疑文件（已确认的差异）

针对文件 emed64_25.4.3.msi，我们已确认至少存在 两个可疑文件。

我们还确认这两个可疑文件均带有 微软签发的数字签名。由于其有效期极短（仅数天），我们认为这些证书很可能是以类似面向开发者的方式签发的。

我们已将该事件报告给微软，提交了可疑文件并请求吊销相关签名。目前我们已确认 两个签名均已被吊销。因此，尝试运行该 MSI 时应会显示签名无效的警告，使安装变得困难。

合法文件（EmEditor 官方安装程序）

  • 文件名：emed64_25.4.3.msi
  • 大小：80,376,832 字节
  • 数字签名 — Subject（主体）：Emurasoft, Inc.
  • 数字签名 — Issuer（颁发者）：Sectigo Public Code Signing CA R36
  • 数字签名 — 有效期：2023 年 4 月 9 日至 2026 年 4 月 9 日
  • SHA-256：e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
  • VirusTotal：https://www.virustotal.com/gui/file/e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
  • 官方分发来源：https://download.emeditor.info/emed64_25.4.3.msi

问题文件 #1

  • 文件名：emed64_25.4.3.msi
  • 大小：80,380,416 字节
  • 数字签名 — Subject（主体）：WALSHAM INVESTMENTS LIMITED
  • 数字签名 — Issuer（颁发者）：Microsoft ID Verified CS EOC CA 02
  • 数字签名 — 有效期：2025 年 12 月 21 日至 2025 年 12 月 24 日
  • SHA-256：4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98
  • VirusTotal：https://www.virustotal.com/gui/file/4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98

问题文件 #2

  • 文件名：emed64_25.4.3.msi
  • 大小：80,380,416 字节
  • 数字签名 — Subject（主体）：WALSHAM INVESTMENTS LIMITED
  • 数字签名 — Issuer（颁发者）：Microsoft ID Verified CS EOC CA 01
  • 数字签名 — 有效期：2025 年 12 月 20 日至 2025 年 12 月 23 日
  • SHA-256：3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc
  • VirusTotal：https://www.virustotal.com/gui/file/3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc

3. 如果您已经删除了下载的文件

如果您仍保留下载的文件（emed64_25.4.3.msi），则可按（先前公告中的方法）通过检查数字签名和/或 SHA-256 来验证其真伪。

即便您已删除该文件，Windows 也可能在安装过程中将 MSI 的副本保存在 C:\Windows\Installer 目录下，并以不同名称存储。

由于该目录既隐藏又受系统保护，使用资源管理器常规浏览可能较难找到。请直接在地址栏输入并打开：C:\Windows\Installer。

打开后，我们建议按以下步骤操作。请务必小心，不要双击或运行任何 MSI 文件。

  1. 按日期排序（例如“修改日期”）
  2. 重点关注近期文件
  3. 检查目标文件的数字签名（右键 → 属性 → 数字签名）

4. 如何检查您的计算机是否可能已感染

即便执行了可疑文件，在以下环境中也不一定会感染，例如：

  • 设备处于离线状态
  • 需要 VPN/代理才能联网
  • Windows 功能或策略阻止了可疑 PowerShell 行为
  • PowerShell 执行受到限制
  • 杀毒/安全软件阻止了相关活动

但如果以下任意一项成立，则感染可能性会非常高：

  • 存在 C:\ProgramData\tmp_mojo.log
  • 存在名为 Google Drive Caching 的计划任务
  • 在 %LOCALAPPDATA%\Google Drive Caching\ 下存在 background.vbs
  • 在 Chrome 或 Microsoft Edge 等 Chromium 内核浏览器中存在名为 Google Drive Caching 的浏览器扩展（即使其声称由 Google 制作）——尤其是当其具备“读取和更改所有网站的数据”以及剪贴板访问权限时
  • 网络日志显示连接到以下任一域名：
  • cachingdrive.com
  • emeditorde.com
  • emeditorgb.com
  • emeditorjp.com
  • emeditorsb.com

若以上均不适用，则风险较低——但并非为零——因为攻击的一部分可能在内存中运行，几乎不留下文件层面的证据。

5. 已确认的行为（目标域名等）

如先前公告所述，我们已确认可疑安装程序在执行后会从外部域名下载其他文件并执行。

此前我们确认其访问了 emeditorjp.com；后续调查还发现其额外访问了 emeditorde.com、emeditorgb.com、emeditorsb.com。

上述四个域名（emeditorjp.com、emeditorde.com、emeditorgb.com、emeditorsb.com）均非由我们（Emurasoft, Inc.）运营。

我们也确认了先前通知中描述的 PowerShell 命令会从外部域名下载并执行文件，这种行为可能导致恶意软件感染，并造成密码等个人信息被窃取。

更多细节请参阅由 Luca Palermo 先生与 Mario Ciccarelli 先生撰写的研究报告。Palermo 先生向我们提供了该报告并授权我们发布，在此对他们的协助表示诚挚感谢。

  • [恶意软件分析报告——多阶段信息窃取器（作者：Luca Palermo 与 Mario Ciccarelli）]()

6. 为什么这次“难以察觉”

从基本事实来看，在特定条件下，第三方确实可能获取域名与数字签名。

  • 如果域名未被使用或未续费，往往可以以较低成本购买。
  • 代码签名证书通常可以从许多证书颁发机构获取（本案中颁发者为微软）。
  • 一旦发现问题，主要可采取的措施是联系颁发者/认证机构并请求吊销。

从技术角度看，MSI 安装包可以通过自定义操作包含任意脚本（包括 PowerShell）。具备足够知识的攻击者可以在一个外观极其接近、且分发广泛的合法安装包中注入恶意加载器。

即便安装包是 EXE 而非 MSI，也依然可能发生类似攻击。

遗憾的是，这意味着软件公司很难从根本上阻止“高度仿冒的恶意安装程序”被创建并传播。我们必须假设未来仍可能出现类似复杂的、多阶段的恶意安装程序。

尽管如此，我们认为本次事件的核心问题可概括为：

  1. 我们网站上用于便捷下载的重定向（下载路径）在未被发现的情况下被篡改。
  2. 外部人员在我们网站上放置了恶意安装程序。

由于两者同时发生，导致客户从我们官方网站下载后遭受伤害，我们对此承担全部责任，并会将其反映在未来的防范措施中。

6-1. 放置在 EmEditor 网站上的恶意文件

除恶意安装程序 emed64_25.4.3.msi 外，我们还在某插件目录下发现了名为 base64.php 的文件。对 base64.php 分析后，我们判定其为典型后门（远程代码执行 / RCE）。

我们还发现 WordPress 主题目录中的 footer.php 被添加了脚本。该脚本劫持了原本指向合法 URL 的点击：

  • https://support.emeditor.com/ja/downloads/latest/installer/64

并将其重定向到：

  • https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

因此，点击首页的“Download Now”按钮可能会下载到恶意文件。

更为恶意的是，该脚本被配置为仅对未登录访客触发，使管理员难以复现与发现问题。因此，即使我们自己检查网站时，也未能立即察觉重定向已被篡改。

7. 原因（当前评估）

我们仍在调查中，尚未得出最终结论。但我们正在考虑以下可能性：

WordPress 由多个组件构成——核心、插件、主题等——由许多开发者维护。这些组件会不断被发现漏洞，并陆续发布更新。

我们会定期更新插件与主题，但在某些情况下，漏洞可能长期未被修复。攻击可能利用了此类漏洞。

也有可能使用中的 SFTP 账号成为攻击目标。

8. 我们的应对（已完成 / 计划中）

我们已立即删除恶意文件 emed64_25.4.3.msi。同时检查文件修改日志，确认新增了 base64.php 并对 footer.php 做了更改。在将 base64.php 确认为后门后，我们对全站进行了扫描。

随后我们重建了网站，重新安装所有插件，并移除不必要的插件。我们也扫描了内部电脑，并更改了所有 WordPress 站点及相关服务的登录密码。我们通过日志审查对所使用的若干服务进行了审计。

此外，我们停止在“Download Now”等下载按钮中使用重定向，改为直接链接到已验证安全的文件。我们还更新了下载页面，明确展示 MSI 的 SHA-256，并加入提示以鼓励用户验证数字签名。

为进一步强化 EmEditor 首页下载路径，我们也在考虑近期将网站从 WordPress 迁移为自定义/静态网站。

9. 结语

如上所述，被篡改的安装程序在执行后可能进行极其危险的操作。同时，我们也无法从根本上阻止第三方创建并分发仿冒合法安装程序的恶意版本。

因此，我们最优先的目标是确保任何人都无法通过我们的网站获取恶意软件，因为网站是我们的主要分发渠道。

本次事件也提醒我们：尽管 Xoops、WordPress 等流行 CMS 平台使用方便，但其可扩展性会增加暴露于漏洞的风险；而仅仅保持插件与主题更新，并不能完全消除风险。

值得庆幸的是，Emurasoft Customer Center 并未被攻破，我们的数据库也保持安全。我们没有发现任何人访问了客户数据库的证据。

我们希望本次事件的经验能对其他软件公司有所帮助，因此尽可能提供了更多细节与背景，而不仅限于简短报告。

我们再次就造成的担忧与不便致以诚挚歉意，并特别向因感染相关问题而遭受损害的用户致歉。

感谢您一直以来对 EmEditor 的支持。