В Microsoft Paint нашли уязвимость для выполнения кода в Windows 11
3 мин
82
1
Уязвимость CVE-2026-83844 в Microsoft Paint для Windows 11 позволяет удалённо выполнять код. Microsoft выпустила исправление, но пользователи столкнулись с трудностями при обновлении редактора через Microsoft Store. В настоящий момент исправленной считается версия 11.2609.401.0.
Ошибка связана с чтением данных за пределами выделенной области памяти. Специально подготовленное изображение может вызвать сбой и привести к выполнению вредоносного кода. Оценка уязвимости по шкале CVSS составляет 8,1 балла — высокий уровень опасности. Microsoft указывает сетевой вектор атаки. Злоумышленнику не нужны права доступа к системе, однако сложность эксплуатации оценена как высокая.
Microsoft раскрыла сведения об уязвимости 13 октября. Сначала в руководстве по обновлениям безопасности Security Update Guide исправленной была указана версия Paint 11.2605.91.0. Однако пользователи Microsoft Q&A и Reddit сообщили о доступности только более ранней сборки 11.2605.81.0. Один из администраторов подтвердил номер установленной версии через PowerShell. Проверка обновлений и сброс кэша Microsoft Store с помощью WSReset не помогли получить новую сборку.
Пользователи Reddit предположили, что обновление будет распространяться поэтапно. Один из участников обсуждения на Reddit рассказал о его доступности только в Южной Азии. Другой назвал исправленной версию 11.2609.401.0, но она отличалась от первоначально указанной в документации Microsoft.
6 ноября Microsoft уточнила уведомление и указала сборку 11.2609.401.0 как необходимую для устранения уязвимости. Причиной прежнего расхождения могла быть опечатка. В тот же день The Hacker News сообщил о доступности этой версии в Microsoft Store во всех десяти странах проверки. Эти результаты не подтверждают предположение о распространении обновления только в Южной Азии. При этом доступность сборки в проверенных странах не гарантирует возможность её получения на каждом устройстве.
Paint получает исправления через Microsoft Store отдельно от Windows. Поэтому установка системных обновлений не подтверждает устранение ошибки в редакторе. Администраторам рекомендуют проверить фактический номер сборки через PowerShell.
Если имеющаяся версия ниже 11.2609.401.0, приложение следует обновить через Microsoft Store. Актуальный номер исправленной сборки указан в записи CVE-2026-83844 в Security Update Guide. До обновления всех рабочих компьютеров организациям предлагают рассмотреть временные ограничения на открытие изображений и вложений из недоверенных источников. Неиспользуемый Paint можно временно удалить.
