• 帮助： https://www.emeditor.org/ → https://help.emeditor.com/
• 下载： https://download.emeditor.info/ → https://download.emeditor.com/

通过此次变更，我们所有的官方资源都将托管在 emeditor.com 或其子域名下。当您在 URL 中看到 emeditor.com 时，可以确信该网站是真实且安全的。

如果您访问当前域名，系统会自动将您重定向到新域名，因此您无需执行任何操作（除非您是 IT 管理员）。此变更计划于 2026 年 5 月 4 日进行。

IT 管理员注意事项

如果您的组织使用防火墙来控制 EmEditor 下载，请将 download.emeditor.com（端口 80 和 443）加入白名单，并允许程序 eeupdate.exe 访问，以确保更新能够不间断地下载与分发。

另请参阅：“EmEditor 的子域名有哪些？”

EmEditor 桌面安装程序现也可通过 Microsoft Store 获取。
Microsoft Store 上提供的桌面安装程序，对 EmEditor Professional 和 EmEditor Free 均为同一个程序 （您将获得同一款应用，并根据您的许可证/使用方式来使用）。

我们还改进了我们的官方网站（www.emeditor.com），让您能更安心地下载 EmEditor。

• EmEditor 桌面安装程序 现可从 Microsoft Store 获取。
• 即使您无法使用 Microsoft Store，仍可从我们的官方网站安全下载 桌面安装程序 。
• 我们的网站已重建为基于静态 HTML 的站点，与动态网站相比，可降低网站被篡改等风险。
• 该网站现托管在 Cloudflare Workers 上，并采用严格的安全控制。Cloudflare 的基于角色的访问控制与企业级身份验证标准有助于确保只有授权更改才能进行，因此您可以信任所看到的内容确实来自我们。

我们将继续仅通过我们的网站及其他授权分发渠道提供官方安装程序 。
为确保您的安全，请从我们的官方网站或 Microsoft Store 等可信来源下载 EmEditor。

从 Microsoft Store 下载

其他下载

我们再次就本次事件造成的严重担忧与不便，向大家致以诚挚的歉意。

1. 可能受影响的时间范围（美国太平洋时间 / UTC）

在之前的通知中，我们提供了美国太平洋时间的范围。为便于参考，这里也同时给出协调世界时（UTC）。

• 2025 年 12 月 19 日 18:39 – 2025 年 12 月 22 日 12:50（美国太平洋时间）
• 2025-12-20 02:39 – 2025-12-22 20:50（UTC）

如果您在上述期间通过 EmEditor 网站的下载路径（例如点击“Download Now”按钮）下载了安装程序，则有可能下载到的文件并非由我们（Emurasoft, Inc.）提供的合法安装程序。

请注意：出于极度谨慎，我们将上述时间范围刻意设置得较宽。实际受影响的窗口可能更短，且仅发生在特定时间段。

2. 关于可疑文件（已确认的差异）

针对文件 emed64_25.4.3.msi，我们已确认至少存在 两个可疑文件。

我们还确认这两个可疑文件均带有 微软签发的数字签名。由于其有效期极短（仅数天），我们认为这些证书很可能是以类似面向开发者的方式签发的。

我们已将该事件报告给微软，提交了可疑文件并请求吊销相关签名。目前我们已确认 两个签名均已被吊销。因此，尝试运行该 MSI 时应会显示签名无效的警告，使安装变得困难。

合法文件（EmEditor 官方安装程序）

• 文件名：emed64_25.4.3.msi
• 大小：80,376,832 字节
• 数字签名 — Subject（主体）：Emurasoft, Inc.
• 数字签名 — Issuer（颁发者）：Sectigo Public Code Signing CA R36
• 数字签名 — 有效期：2023 年 4 月 9 日至 2026 年 4 月 9 日
• SHA-256：e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
• VirusTotal：https://www.virustotal.com/gui/file/e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
• 官方分发来源：https://download.emeditor.info/emed64_25.4.3.msi

问题文件 #1

• 文件名：emed64_25.4.3.msi
• 大小：80,380,416 字节
• 数字签名 — Subject（主体）：WALSHAM INVESTMENTS LIMITED
• 数字签名 — Issuer（颁发者）：Microsoft ID Verified CS EOC CA 02
• 数字签名 — 有效期：2025 年 12 月 21 日至 2025 年 12 月 24 日
• SHA-256：4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98
• VirusTotal：https://www.virustotal.com/gui/file/4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98

问题文件 #2

• 文件名：emed64_25.4.3.msi
• 大小：80,380,416 字节
• 数字签名 — Subject（主体）：WALSHAM INVESTMENTS LIMITED
• 数字签名 — Issuer（颁发者）：Microsoft ID Verified CS EOC CA 01
• 数字签名 — 有效期：2025 年 12 月 20 日至 2025 年 12 月 23 日
• SHA-256：3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc
• VirusTotal：https://www.virustotal.com/gui/file/3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc

3. 如果您已经删除了下载的文件

如果您仍保留下载的文件（emed64_25.4.3.msi），则可按（先前公告中的方法）通过检查数字签名和/或 SHA-256 来验证其真伪。

即便您已删除该文件，Windows 也可能在安装过程中将 MSI 的副本保存在 C:\Windows\Installer 目录下，并以不同名称存储。

由于该目录既隐藏又受系统保护，使用资源管理器常规浏览可能较难找到。请直接在地址栏输入并打开：C:\Windows\Installer。

打开后，我们建议按以下步骤操作。请务必小心，不要双击或运行任何 MSI 文件。

1. 按日期排序（例如“修改日期”）
2. 重点关注近期文件
3. 检查目标文件的数字签名（右键 → 属性 → 数字签名）

4. 如何检查您的计算机是否可能已感染

即便执行了可疑文件，在以下环境中也不一定会感染，例如：

• 设备处于离线状态
• 需要 VPN/代理才能联网
• Windows 功能或策略阻止了可疑 PowerShell 行为
• PowerShell 执行受到限制
• 杀毒/安全软件阻止了相关活动

但如果以下任意一项成立，则感染可能性会非常高：

• 存在 C:\ProgramData\tmp_mojo.log
• 存在名为 Google Drive Caching 的计划任务
• 在 %LOCALAPPDATA%\Google Drive Caching\ 下存在 background.vbs
• 在 Chrome 或 Microsoft Edge 等 Chromium 内核浏览器中存在名为 Google Drive Caching 的浏览器扩展（即使其声称由 Google 制作）——尤其是当其具备“读取和更改所有网站的数据”以及剪贴板访问权限时
• 网络日志显示连接到以下任一域名：
• cachingdrive.com
• emeditorde.com
• emeditorgb.com
• emeditorjp.com
• emeditorsb.com

若以上均不适用，则风险较低——但并非为零——因为攻击的一部分可能在内存中运行，几乎不留下文件层面的证据。

5. 已确认的行为（目标域名等）

如先前公告所述，我们已确认可疑安装程序在执行后会从外部域名下载其他文件并执行。

此前我们确认其访问了 emeditorjp.com；后续调查还发现其额外访问了 emeditorde.com、emeditorgb.com、emeditorsb.com。

上述四个域名（emeditorjp.com、emeditorde.com、emeditorgb.com、emeditorsb.com）均非由我们（Emurasoft, Inc.）运营。

我们也确认了先前通知中描述的 PowerShell 命令会从外部域名下载并执行文件，这种行为可能导致恶意软件感染，并造成密码等个人信息被窃取。

更多细节请参阅由 Luca Palermo 先生与 Mario Ciccarelli 先生撰写的研究报告。Palermo 先生向我们提供了该报告并授权我们发布，在此对他们的协助表示诚挚感谢。

• [恶意软件分析报告——多阶段信息窃取器（作者：Luca Palermo 与 Mario Ciccarelli）]()

6. 为什么这次“难以察觉”

从基本事实来看，在特定条件下，第三方确实可能获取域名与数字签名。

• 如果域名未被使用或未续费，往往可以以较低成本购买。
• 代码签名证书通常可以从许多证书颁发机构获取（本案中颁发者为微软）。
• 一旦发现问题，主要可采取的措施是联系颁发者/认证机构并请求吊销。

从技术角度看，MSI 安装包可以通过自定义操作包含任意脚本（包括 PowerShell）。具备足够知识的攻击者可以在一个外观极其接近、且分发广泛的合法安装包中注入恶意加载器。

即便安装包是 EXE 而非 MSI，也依然可能发生类似攻击。

遗憾的是，这意味着软件公司很难从根本上阻止“高度仿冒的恶意安装程序”被创建并传播。我们必须假设未来仍可能出现类似复杂的、多阶段的恶意安装程序。

尽管如此，我们认为本次事件的核心问题可概括为：

1. 我们网站上用于便捷下载的重定向（下载路径）在未被发现的情况下被篡改。
2. 外部人员在我们网站上放置了恶意安装程序。

由于两者同时发生，导致客户从我们官方网站下载后遭受伤害，我们对此承担全部责任，并会将其反映在未来的防范措施中。

6-1. 放置在 EmEditor 网站上的恶意文件

除恶意安装程序 emed64_25.4.3.msi 外，我们还在某插件目录下发现了名为 base64.php 的文件。对 base64.php 分析后，我们判定其为典型后门（远程代码执行 / RCE）。

我们还发现 WordPress 主题目录中的 footer.php 被添加了脚本。该脚本劫持了原本指向合法 URL 的点击：

• https://support.emeditor.com/ja/downloads/latest/installer/64

并将其重定向到：

• https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

因此，点击首页的“Download Now”按钮可能会下载到恶意文件。

更为恶意的是，该脚本被配置为仅对未登录访客触发，使管理员难以复现与发现问题。因此，即使我们自己检查网站时，也未能立即察觉重定向已被篡改。

7. 原因（当前评估）

我们仍在调查中，尚未得出最终结论。但我们正在考虑以下可能性：

WordPress 由多个组件构成——核心、插件、主题等——由许多开发者维护。这些组件会不断被发现漏洞，并陆续发布更新。

我们会定期更新插件与主题，但在某些情况下，漏洞可能长期未被修复。攻击可能利用了此类漏洞。

也有可能使用中的 SFTP 账号成为攻击目标。

8. 我们的应对（已完成 / 计划中）

我们已立即删除恶意文件 emed64_25.4.3.msi。同时检查文件修改日志，确认新增了 base64.php 并对 footer.php 做了更改。在将 base64.php 确认为后门后，我们对全站进行了扫描。

随后我们重建了网站，重新安装所有插件，并移除不必要的插件。我们也扫描了内部电脑，并更改了所有 WordPress 站点及相关服务的登录密码。我们通过日志审查对所使用的若干服务进行了审计。

此外，我们停止在“Download Now”等下载按钮中使用重定向，改为直接链接到已验证安全的文件。我们还更新了下载页面，明确展示 MSI 的 SHA-256，并加入提示以鼓励用户验证数字签名。

为进一步强化 EmEditor 首页下载路径，我们也在考虑近期将网站从 WordPress 迁移为自定义/静态网站。

9. 结语

如上所述，被篡改的安装程序在执行后可能进行极其危险的操作。同时，我们也无法从根本上阻止第三方创建并分发仿冒合法安装程序的恶意版本。

因此，我们最优先的目标是确保任何人都无法通过我们的网站获取恶意软件，因为网站是我们的主要分发渠道。

本次事件也提醒我们：尽管 Xoops、WordPress 等流行 CMS 平台使用方便，但其可扩展性会增加暴露于漏洞的风险；而仅仅保持插件与主题更新，并不能完全消除风险。

值得庆幸的是，Emurasoft Customer Center 并未被攻破，我们的数据库也保持安全。我们没有发现任何人访问了客户数据库的证据。

我们希望本次事件的经验能对其他软件公司有所帮助，因此尽可能提供了更多细节与背景，而不仅限于简短报告。

我们再次就造成的担忧与不便致以诚挚歉意，并特别向因感染相关问题而遭受损害的用户致歉。

感谢您一直以来对 EmEditor 的支持。

我们非常遗憾地通知您：我们已确认 EmEditor 官方网站的下载路径（[Download Now] 按钮）发生了一起事件，疑似遭到第三方未授权篡改。在受影响期间，通过该按钮下载的安装程序可能并非我们（Emurasoft, Inc.）提供的正版文件。

对此可能造成的担忧与不便，我们深表歉意。请阅读以下信息。

1. 可能受影响的期间

• 2025 年 12 月 19 日 18:39 – 2025 年 12 月 22 日 12:50（美国太平洋时间）

如果您在上述期间通过 EmEditor 首页的 [Download Now] 按钮下载安装程序，则有可能下载到了一个没有我们数字签名的不同文件。这是保守估计；实际受影响时间可能更短，并且可能仅限于某一特定时间段。

2. 事件概要（深层原因）

[Download Now] 按钮正常情况下指向以下 URL：

• https://support.emeditor.com/en/downloads/latest/installer/64

该 URL 使用了重定向。然而在受影响期间，重定向设置疑似被第三方更改，导致下载被从以下（错误）URL 提供：

• https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

该文件并非由 Emurasoft, Inc. 创建，并且已被移除。

因此我们确认，下载到的文件数字签名可能不是我们，而是来自另一家名为 WALSHAM INVESTMENTS LIMITED 的组织。

注：此问题可能不限于英文页面，也可能影响其他语言的类似 URL（包括日文）。

3. 已确认可能受影响的文件

目前唯一确认涉及的文件为：

• emed64_25.4.3.msi

正版文件（官方）

• 文件名：emed64_25.4.3.msi
• 大小：80,376,832 字节
• 数字签名：Emurasoft, Inc.
• SHA-256：e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e

可疑文件（可能被篡改）

• 文件名：emed64_25.4.3.msi
• 大小：80,380,416 字节
• 数字签名：WALSHAM INVESTMENTS LIMITED

4. 不受影响的情况

如果符合以下任一情况，则您不受影响：

• 通过 EmEditor 的 更新检查器（Update Checker） 或自动更新进行更新
• 直接从 download.emeditor.info 下载
  示例：https://download.emeditor.info/emed64_25.4.3.msi
• 下载的不是 emed64_25.4.3.msi 文件
• 使用了 便携版（portable version）
• 使用了 商店应用版本（store app version）
• 使用 winget 安装/更新
• 下载了文件但没有运行/执行

5. 如何检查以及应采取的措施

如果您可能在受影响期间通过 [Download Now] 下载了安装程序，请验证 emed64_25.4.3.msi 文件的数字签名与 SHA-256 哈希。

5-1. 如何检查数字签名（Windows）

1. 右键点击文件（emed64_25.4.3.msi），选择 属性（Properties）。
2. 打开 数字签名（Digital Signatures） 选项卡。
3. 确认签名者为 Emurasoft, Inc.

• 若显示 WALSHAM INVESTMENTS LIMITED，则该文件可能为恶意文件。

如果未显示“数字签名”选项卡，可能表示该文件未签名或签名无法识别。此时请勿运行该文件；删除并按下方指引处理。

5-2. 如何检查 SHA-256（Windows / PowerShell）

打开 PowerShell 并执行：

Get-FileHash .\emed64_25.4.3.msi -Algorithm SHA256

确认输出的 SHA-256 与下列一致：

• 正版 SHA-256：
  e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e

如果签名或 SHA-256 不匹配（建议措施）

如果数字签名不是 Emurasoft, Inc.（例如为 WALSHAM INVESTMENTS LIMITED）或 SHA-256 不匹配，则您可能获取了被篡改的文件（可能包含恶意软件）。

• 立即将受影响电脑断开网络连接（有线/无线）
• 对系统执行一次完整的恶意软件扫描
• 视情况考虑刷新/重建包括操作系统在内的环境
• 考虑凭据可能泄露：对该设备上使用/保存过的账号更改密码（并尽可能启用 MFA 多因素认证）

如果您在组织内使用 EmEditor，也建议联系内部安全团队（如 CSIRT），并尽可能保留相关日志。

6. 已观察到的行为（截至目前确认）

该可疑安装程序可能会尝试运行一个 PowerShell 脚本，该脚本会从 emeditorjp[.]com 下载并执行内容。
emeditorjp[.]com 并非 Emurasoft, Inc. 管理的域名。

另请注意：该安装程序可能仍会正常安装 EmEditor 并安装正版的 EmEditor 程序文件，这会使问题更难被察觉。

7. 当前状态与后续更新

我们将继续调查事实并确定影响范围。一旦有更多信息，我们会在本页面和/或通过官方渠道尽快更新。
我们高度重视此次事件，并将采取必要措施查明原因、避免再次发生。

对于此次事件可能造成的不便与担忧，我们再次致以诚挚歉意，并感谢您对 EmEditor 的理解与持续支持。

我们还将于 2025 年 8 月 28 日起推出月订阅选项，每月 6 美元，方便您根据自身需求灵活选择订阅方式。

请注意，您的订阅费用可能会根据您所在的国家/地区，以当地货币计算和结算。

有关如何计算所需授权数，请参阅我们的指南。

我们将继续致力于不断改进 EmEditor 并支持我们的用户。

感谢您选择 EmEditor！

新的变化

• 支付处理器： Stripe 将成为 EmEditor 订阅购买的新支付处理器。
• 推出计划： 我们已经将英文网站 (emeditor.com) 的“立即购买”链接更改为 Stripe 支付页面。其他语言的“立即购买”链接将在 2025 年 1 月更改。
• 现有订阅： 现有的 2Checkout 订阅仍然有效。喜欢使用 2Checkout 的客户仍然可以使用此链接。
• 其他零售商： 此更改不会影响 EmEditor 的其他零售商。
• 注册流程更新： Stripe 订阅将不再使用注册密钥。取而代之，您可以使用 Emurasoft 客户中心的凭据登录。2Checkout 订阅仍将提供注册密钥。

我们为什么选择 Stripe

改进的支付选项

Stripe 支持多种支付方式，包括信用卡和借记卡、银行转账、Apple Pay、Alipay、Google Pay 等。

Stripe 支持 Link，一种安全的自动填充功能，可以保存您的支付信息以便快速结账。

用户友好体验

使用 Stripe，您可以享受快速、直观的结账流程。通过 Stripe 门户，您可以方便地管理订阅。

安全与隐私

您的安全仍然是我们的首要任务。Stripe 通过严格的政策以及 PCI DSS 合规的高级加密来保护客户支付数据。

如何使用 Stripe 进行购买

购买订阅

从 2025 年 1 月开始，您可以访问 emeditorzhcn.wpengine.com 并点击“立即购买”购买订阅。如果您已登录 Emurasoft 客户中心，Stripe 支付页面会显示您的电子邮件地址，确认订阅将链接到正确的用户。如需为新用户购买，请退出客户中心并在支付页面手动输入所需的电子邮件地址。

您可以通过单击屏幕左半部分的“数量”按钮更改订阅的数量。

订阅信息的电子邮件

购买后几分钟内，您将收到来自 emurasoft.com 的两封电子邮件：一封包含订阅的详细信息，另一封是您的收据。

注册 EmEditor

购买订阅后，请按照以下步骤来激活 EmEditor。

1. 打开 EmEditor。
2. 转到 帮助 > 注册信息…
3. 单击登录/输入注册信息。
4. 使用 Emurasoft 客户中心的凭据登录，以注册新订阅。
5. 在注册信息中，确保对话框有显示您的订阅 ID，并在下方显示“验证成功”。

离线注册

如果您想离线注册，可以请求离线授权。离线授权将替代注册密钥。

管理您的订阅

查看您的订阅

1. 登录 Emurasoft 客户中心。
2. 导航到 Stripe 订阅部分以查看您现有的订阅。

进行更改

• 使用 Stripe 门户管理您的 Stripe 订阅或更新您的支付方式。

支持和反馈

如果需要帮助，请通过我们的联系我们表单与我们联系。我们也欢迎您对 Stripe 提供反馈，以帮助我们不断改进您的体验。

感谢您对 EmEditor 的持续支持和信任。我们承诺为您提供安全、可靠且便捷的订阅体验。

如先前宣布的那样，我们将在 2024 年 8 月 28 日停止销售永久授权。此外，第一年后的续订价格将从当前的第一年价格的 50% 提高到 75%，该调整也将于 2024 年 8 月 28 日生效。如果您计划长期使用 EmEditor Professional，现在购买永久授权可以节省费用。或者，如果您有订阅授权，您可以在 2024 年 8 月 28 日之前以当前的更新价格续订。

请参阅如何计算授权数量。

我们将继续开发EmEditor并为客户提供支持。

感谢您使用EmEditor！

作为 EmEditor 的开发者，我急需解决我们社区日益增长的一个担忧：盗版或无效授权的销售问题。我们注意到，这些授权在各种在线平台上，包括拍卖网站上，以显著折扣价出售。请注意，如果您遇到价格看起来异常低廉的 EmEditor 授权，几乎可以肯定它来自非法来源。不仅违法，而且使用这些授权的用户也承担重大风险。我强烈敦促您不要购买这些授权。

为什么应避免非法授权：

1. 短期功能，长期故障：起初，这些未授权的密钥看似有效。然而，它们最终会显示一条消息，“您可能是软件盗版的受害者。请从 EmEditor 主页购买合法软件授权。”这表明软件将停止正常工作。
2. 注册和激活问题：合法的 EmEditor 授权需要在 Emurasoft 客户中心成功注册。盗版授权无法通过此过程，导致连续的警告消息和软件无法更新。
3. 安全隐患：购买和使用这些非法授权将使您面临重大的安全风险。通常，盗版软件销售商会尝试窃取您的个人和支付信息。
4. 拍卖网站购买：请特别小心在拍卖网站上售出的授权。其中许多不是合法的，我们禁止更改授权的所有权。从这些来源购买使您面临获得不可转让、无效授权的风险。EmEditor 授权是不可转让的，法定姓名变更除外。

合法授权的好处：

• 软件的完整功能性和可靠性。
• 提供定期更新和客户支持。
• 遵守合法的软件使用并增强数据安全性。

如何确保您的授权是合法的：

请通过我们的官方网站或认可的授权经销商直接购买您的 EmEditor 授权。如果您对授权的真实性有任何疑问，请在完成购买前联系我们进行验证。

您的行动很重要：

通过选择购买合法的授权，您不仅能确保流畅和安全的使用体验，也能支持 EmEditor 的持续发展和改进。

我们非常重视这个问题，并正在积极努力打击这些非法授权的销售。在这项努力中，您的意识和合作至关重要。

感谢您成为 EmEditor 社区的重要一部分。

此致，

Yutaka Emura
EmEditor 的开发者

请参阅：破解，注册机，序列号 – EmEditor (文本编辑器)

与其他公司出售的“永久”授权不同，我们的永久授权包括无限期地更新到最新的版本。 未来很难预测，但我们愿意长期开发和支持 EmEditor。 我们的家人和员工依赖于 EmEditor 的销售。 因此，我们将于 2024 年 8 月 28 日结束永久授权的销售。 2024 年 8 月 28 日之后，我们将不再出售永久授权。 如果您计划长期使用 EmEditor Professional，您可以现在购买永久授权来节省未来的开支。 我们还将在 2023 年 8 月 30 日将永久授权的价格从目前的单个授权 260 美元提高到 380 美元。 批量购买的优惠折扣也将相应调整。

年订阅

另外，我们会在 2024 年将更新价格从第一年价格的 50% 提高到 75%。 如果您有年订阅，无需等到授权到期日期，可以在 2024 年 8 月 28 日之前按目前的更新价格（50%）续订。 只要您的订阅已超过 30 天，您就可以购买续订，授权会自动延长 1 年。 如果您想购买多年续订，请联系我们，我们会给您发送一个购买链接。 如果您通过经销商购买了订阅，请联系您的经销商购买多年续订。

另请参阅如何计算授权数量。

我们将继续开发 EmEditor 并为我们的客户提供技术支持。

感谢您使用 EmEditor！

关于需要购买的授权总数，请参考如何计算授权数。

我们将持续努力开发 EmEditor 并不断完善和提高我们的服务。

感谢您使用 EmEditor 以及对我们的支持。