# 【重要】关于 EmEditor 安装程序下载链接的安全事件通知

感谢您使用 EmEditor。

我们非常遗憾地通知您：我们已确认 EmEditor 官方网站的下载路径（**[Download Now]** 按钮）发生了一起事件，**疑似遭到第三方未授权篡改**。在受影响期间，通过该按钮下载的安装程序可能并非我们（Emurasoft, Inc.）提供的正版文件。

对此可能造成的担忧与不便，我们深表歉意。请阅读以下信息。

---

## 1. 可能受影响的期间

- **2025 年 12 月 19 日 18:39 – 2025 年 12 月 22 日 12:50（美国太平洋时间）**

如果您在上述期间通过 EmEditor 首页的 **[Download Now]** 按钮下载安装程序，则有可能下载到了一个**没有我们数字签名的不同文件**。这是保守估计；实际受影响时间可能更短，并且可能仅限于某一特定时间段。

---

## 2. 事件概要（深层原因）

**[Download Now]** 按钮正常情况下指向以下 URL：

- https://support.emeditor.com/en/downloads/latest/installer/64

该 URL 使用了重定向。然而在受影响期间，**重定向设置疑似被第三方更改**，导致下载被从以下（错误）URL 提供：

- https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

该文件并非由 Emurasoft, Inc. 创建，并且**已被移除**。

因此我们确认，下载到的文件数字签名可能不是我们，而是来自另一家名为 **WALSHAM INVESTMENTS LIMITED** 的组织。

*注：此问题可能不限于英文页面，也可能影响其他语言的类似 URL（包括日文）。*

---

## 3. 已确认可能受影响的文件

目前唯一确认涉及的文件为：

- **emed64_25.4.3.msi**

### 正版文件（官方）

- 文件名：**emed64_25.4.3.msi**
- 大小：**80,376,832 字节**
- 数字签名：**Emurasoft, Inc.**
- **SHA-256：**`e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e`

### 可疑文件（可能被篡改）

- 文件名：**emed64_25.4.3.msi**
- 大小：**80,380,416 字节**
- 数字签名：**WALSHAM INVESTMENTS LIMITED**

---

### 4. 不受影响的情况

如果符合以下任一情况，则您**不受影响**：

- 通过 EmEditor 的 **更新检查器（Update Checker）** 或自动更新进行更新
- 直接从 `download.emeditor.info` 下载\
    示例：https://download.emeditor.info/emed64_25.4.3.msi
- 下载的不是 `emed64_25.4.3.msi` 文件
- 使用了 **便携版（portable version）**
- 使用了 **商店应用版本（store app version）**
- 使用 **winget** 安装/更新
- 下载了文件但**没有运行/执行**

---

### 5. 如何检查以及应采取的措施

如果您可能在受影响期间通过 **[Download Now]** 下载了安装程序，请验证 `emed64_25.4.3.msi` 文件的**数字签名**与 **SHA-256 哈希**。

#### 5-1. 如何检查数字签名（Windows）

1. 右键点击文件（`emed64_25.4.3.msi`），选择 **属性（Properties）**。
2. 打开 **数字签名（Digital Signatures）** 选项卡。
3. 确认签名者为 **Emurasoft, Inc.**

- 若显示 **WALSHAM INVESTMENTS LIMITED**，则该文件可能为恶意文件。

*如果未显示“数字签名”选项卡，可能表示该文件未签名或签名无法识别。此时请勿运行该文件；删除并按下方指引处理。*

#### 5-2. 如何检查 SHA-256（Windows / PowerShell）

打开 PowerShell 并执行：

```powershell
Get-FileHash .\emed64_25.4.3.msi -Algorithm SHA256
```

确认输出的 SHA-256 与下列一致：

- 正版 SHA-256：\
    `e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e`

#### 如果签名或 SHA-256 不匹配（建议措施）

如果数字签名不是 **Emurasoft, Inc.**（例如为 **WALSHAM INVESTMENTS LIMITED**）或 SHA-256 不匹配，则您可能获取了被篡改的文件（可能包含恶意软件）。

- 立即将受影响电脑**断开网络连接**（有线/无线）
- 对系统执行一次完整的**恶意软件扫描**
- 视情况考虑**刷新/重建包括操作系统在内的环境**
- 考虑凭据可能泄露：对该设备上使用/保存过的账号**更改密码**（并尽可能启用 MFA 多因素认证）

*如果您在组织内使用 EmEditor，也建议联系内部安全团队（如 CSIRT），并尽可能保留相关日志。*

---

### 6. 已观察到的行为（截至目前确认）

该可疑安装程序可能会尝试运行一个 PowerShell 脚本，该脚本会从 `emeditorjp[.]com` 下载并执行内容。\
**emeditorjp[.]com 并非 Emurasoft, Inc. 管理的域名。**

另请注意：该安装程序可能**仍会正常安装 EmEditor 并安装正版的 EmEditor 程序文件**，这会使问题更难被察觉。

---

### 7. 当前状态与后续更新

我们将继续调查事实并确定影响范围。一旦有更多信息，我们会在本页面和/或通过官方渠道尽快更新。\
我们高度重视此次事件，并将采取必要措施查明原因、避免再次发生。

对于此次事件可能造成的不便与担忧，我们再次致以诚挚歉意，并感谢您对 EmEditor 的理解与持续支持。