Microsoft исправила RCE-уязвимость Paint через Store, минуя Windows Update
Microsoft выпустила версию Paint 11.2609.401.0, исправляющую уязвимость удалённого выполнения кода CVE-2026-83844 с оценкой CVSS 8,1. Обновление доступно через Microsoft Store: обычный Windows Update его не доставляет. Компания классифицирует проблему как Important.
Ошибка представляет собой чтение за границами буфера. По описанию Microsoft, злоумышленник может отправить специально сформированный сетевой пакет уязвимой службе и выполнить код. Название этой службы в бюллетене не приводится.
Что известно об условиях атаки
Для успешной атаки не требуется вход в систему и участие пользователя. При этом Microsoft указывает, что атакующему необходимо глубокое понимание целевой системы. На 13 октября, когда компания раскрыла уязвимость, сведений о публичном раскрытии или эксплуатации CVE-2026-83844 не было.
На момент проверки The Hacker News уязвимость также отсутствовала в каталоге Known Exploited Vulnerabilities, который ведёт американское Агентство по кибербезопасности и защите инфраструктуры CISA. Это не отменяет необходимость установки обновления: Microsoft не предлагает для этой проблемы обходных решений или мер смягчения.
Почему важна именно версия 11.2609.401.0
В актуальном бюллетене Microsoft исправленной названа сборка 11.2609.401.0. Однако запись CVE и карточка NVD по-прежнему указывают затронутыми версии Paint ниже 11.2605.91.0. Из-за этого сканер, ориентирующийся только на CVE-запись, может считать защищёнными сборки начиная с 11.2605.91.0.
Сборка 11.2609.401.0 или более новая проходит проверку по обоим порогам. Ранее в бюллетене в качестве исправленной фигурировала версия 11.2605.91.0, но в истории изменений бюллетеня сохранилась только запись от 13 октября без пояснения замены номера.
Как проверить установленные экземпляры Paint
Paint, как и другие приложения Microsoft Store, устанавливается отдельно для каждой учётной записи Windows. Кроме того, система может хранить подготовленную версию приложения, которая ставится новым пользователям. Поэтому проверки Paint только в текущем профиле недостаточно.
В PowerShell, запущенном от имени администратора, можно получить список пакетов для всех пользователей командой Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }. Подготовленную копию проверяет команда Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version.
Все экземпляры ниже 11.2609.401.0 необходимо обновить через Microsoft Store либо дождаться автоматического обновления Store. В Intune и других средствах управления устройствами эту задачу выполняет сканирование обновлений приложений Store; затем стоит повторить обе проверки и убедиться, что каждая версия Paint не ниже 11.2609.401.0. Для бизнеса практический вывод прост: обновления Store нужно контролировать отдельно от Windows Update, иначе закрытый Windows патч может остаться неустановленным.