Исправление RCE в Microsoft Paint доступно только через Microsoft Store
Microsoft выпустила исправление для уязвимости удалённого выполнения кода CVE-2026-83844 в Windows Paint с оценкой CVSS 8.1. Обновление доступно только через Microsoft Store, Windows Update его не доставляет.
Главное в цифрах
- Идентификатор уязвимости: CVE-2026-83844
- Оценка CVSS: 8.1 (Important)
- Исправленная сборка Paint: 11.2609.401.0
- Сборка без исправления, найденная в шести странах: 11.2605.81.0
- Дата публикации Microsoft: 13 октября
Исправленная сборка Paint 11.2609.401.0 появилась в Microsoft Store. По данным The Hacker News, это самая новая сборка Paint в десяти проверенных странах на день публикации. Уязвимость связана с чтением за пределами буфера, атакующий может выполнить код через сеть. Microsoft оценивает её как Important с CVSS 8.1 и указывает, что для успешной атаки нужно глубокое знание целевой системы. Компания опубликовала уязвимость 13 октября, эксплуатация в дикой природе не была известна.
Брайан Витко из RFF, разработчика ПО для управления устройствами, проверил шесть стран и нашёл там самую новую сборку 11.2605.81.0 без исправления. Его тестовая виртуальная машина сама получила сборку 11.2609.401.0 через автообновление Store. Это одна машина, и когда остальные ПК получат обновление, пока неизвестно.
Несоответствие версий в CVE и NVD
Бюллетень безопасности Microsoft называет исправленной сборкой 11.2609.401.0. Однако запись CVE, которую публикует та же компания, и запись в NVD указывают уязвимыми версии ниже 11.2605.91.0. Из-за этого сканеры, читающие CVE, могут считать исправленными любые сборки от 11.2605.91.0 и выше, включая те, что не закрывают проблему. Сборка 11.2609.401.0 и новее проходит проверку по обоим номерам.
По данным форума Microsoft Q&A, на прошлой неделе бюллетень ещё называл исправленной сборку 11.2605.91.0. В истории изменений бюллетеня при этом остаётся только запись от 13 октября без пометки об изменении.
Как проверить установленные копии
Paint, как и другие приложения из Store, устанавливается отдельно для каждой учётной записи. Windows может также хранить подготовленную копию, которая ставится для каждого нового пользователя. Проверка только текущего пользователя может пропустить старые копии.
Витко предлагает запустить PowerShell от имени администратора. Первая команда показывает копии Paint для всех пользователей: Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }. Вторая показывает подготовленную копию: Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version.
Бюллетень не указывает обходных путей. До появления исправления в Store Витко советовал удалить Paint там, где он никому не нужен, для всех пользователей и из подготовленной копии. Этот шаг он не проверял. По тексту бюллетеня, атака выполняется отправкой «специально сформированного пакета» уязвимой службе через сеть без входа в систему и без участия пользователя, но сама служба не названа.
Статус в каталоге CISA
На момент проверки The Hacker News уязвимости не было в каталоге известных эксплуатируемых уязвимостей (KEV) Агентства по кибербезопасности и инфраструктуре США CISA. Последнее обновление каталога вышло ранее на этой неделе.
