Microsoft закрыла в Microsoft Paint уязвимость, которую отслеживает как CVE-2026-83844: эксплуатация позволяет выполнить код на машине по сети, причём жертве не нужно ничего открывать или нажимать. Патч формально выпущен 13 октября 2026 года через Microsoft Store, но ни автор Windows Latest, ни администраторы на Reddit не смогли его найти — при включённом автообновлении приложение остаётся на старой сборке.
Что именно за дыра и насколько она опасна
Microsoft описывает проблему как out-of-bounds read — код читает память за пределами положенного ему участка. Следствие — удалённое выполнение кода: атакующий получает возможность запускать на уязвимом ПК собственный код. В бюллетене сказано прямо: «An unauthenticated attacker could exploit this vulnerability by sending a specially crafted packet to an affected service over the network» — то есть достаточно отправить по сети специально сформированный пакет в адрес затронутого сервиса.
Оценка по CVSS — 8.1 из 10, уровень «Important», ниже «Critical». Сам вендор называет уязвимость сложной в эксплуатации, сообщений о её использовании в реальных атаках нет. Отдельно донор отмечает: часть сторонних антивирусов, ориентированных на корпоративный сегмент, может ругаться на Paint именно из-за отсутствия патча.
Патч есть, но его не видно в Store
По документации Microsoft, защищённой считается Paint версии 11.2609.401.0 и новее. На практике картина другая. Автор Windows Latest включил автообновления в Microsoft Store, не нашёл в Store обновлений для Paint и решил, что приложение уже свежее. Проверка версии в настройках самого приложения показала 11.2603.251.0 — заметно ниже требуемой.
Это не единичный случай: на Reddit администраторы подтвердили, что обновления Paint не видят вообще, в том числе когда пытались скачать MSIX приложения сторонним инструментом. Причина неизвестна. Возможны два варианта: ошибка не даёт пропатченной сборке появиться в Store либо Microsoft указала в своём бюллетене неверный (несуществующий) номер версии.
Важный момент: установка октябрьского обновления Windows 11, которое само по себе закрыло более 1000 проблем безопасности, от этой дыры не защищает. Paint обновляется через Microsoft Store, поэтому актуальная система без свежего приложения остаётся уязвимой.
Как проверить версию Paint
Проверка занимает одну команду. Откройте Windows PowerShell и выполните:
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version
Сверьте вывод с порогом 11.2609.401.0: всё, что ниже, по документации Microsoft считается уязвимым. Если в Store обновления нет, автор донора советует всё равно ставить последнюю доступную сборку — даже если её номер ниже указанного в бюллетене. Причина та же неопределённость: не исключено, что Microsoft случайно отозвала обновление либо ошиблась с номером версии.
Для парка машин проверку стоит превратить в регулярную: одна команда в PowerShell, запущенная по списку компьютеров, даёт полную картину. Это надёжнее, чем полагаться на настройку автообновлений в Store, которая, как видно, не гарантирует установку.
Почему автообновления не спасают
История с Paint — наглядный пример того, что встроенные приложения Windows 11 живут по собственному графику. Обновления Windows и обновления Store — разные каналы, и задержка в одном не компенсируется другим. Администратор, который проверяет только журнал установленных накопительных пакетов, о версии Paint не узнает ничего.
Второй вывод — про доверие к бюллетеням. Если указанная в документе версия не появляется в канале распространения, сверить состояние парка можно только фактической проверкой установленных пакетов, а не по формальному признаку «обновления включены». Похожая логика действует и в других случаях, когда исправление приходит отдельно от системы: например, когда Windows 11 26H2 закрыла четыре из пяти известных проблем, но не все исправления приезжают одним пакетом.
Что делать администратору
Порядок действий простой и не требует специальных инструментов:
- проверьте фактическую версию Paint на рабочих машинах командой выше;
- если она ниже 11.2609.401.0, попробуйте обновить приложение через Store вручную;
- если обновление не предлагается, зафиксируйте это и повторите попытку позже — вероятно, проблема на стороне Microsoft;
- не считайте установку октябрьского накопительного пакета доказательством того, что Paint закрыт.
Отдельно стоит помнить, что Paint — не единственное встроенное приложение с собственным каналом обновлений. Тот же подход к проверке версий применим и к остальным пакетам Microsoft из Store, которые есть в организации. О том, какие ещё изменения приносит обновление системы, можно прочитать в материале Windows 11 KB5127648: первое накопительное обновление 26H2.
Частые вопросы
Кого касается уязвимость CVE-2026-83844?
Всех, у кого установлен Microsoft Paint из Microsoft Store в Windows 11 и чья версия приложения ниже 11.2609.401.0. Наличие свежего октябрьского обновления Windows при этом ничего не меняет.
Насколько опасна эта дыра на практике?
Оценка 8.1 из 10, уровень «Important». Эксплуатация приводит к удалённому выполнению кода без действий пользователя, но Microsoft называет уязвимость сложной в эксплуатации, а сообщений о реальных атаках нет.
Как узнать версию Paint без PowerShell?
Версию показывает сам интерфейс приложения: она указана в настройках Paint. Однако для проверки парка машин команда PowerShell удобнее — она выдаёт результат сразу по списку компьютеров.
Что делать, если в Store нет обновления Paint?
Зафиксировать текущую версию и повторить попытку позже. По версии донора, не исключено, что Microsoft отозвала обновление или ошиблась с номером сборки в бюллетене. Ставить последнюю доступную сборку всё равно рекомендуется.
Защищает ли октябрьское обновление Windows 11 от этой уязвимости?
Нет. Paint обновляется через Microsoft Store, а не через накопительные пакеты Windows, поэтому актуальная система без патча приложения остаётся уязвимой.
Почему антивирус может ругаться на Paint?
Некоторые сторонние антивирусы, в первую очередь корпоративные, помечают Paint как приложение без установленного патча безопасности. Это реакция на отсутствие обновления, а не признак заражения.
Нужно ли удалять Paint до выхода исправления?
Донор такого совета не даёт. Microsoft оценивает эксплуатацию как сложную и не сообщает о реальных атаках, поэтому удаление приложения не является обязательной мерой.
Можно ли эксплуатировать дыру удалённо без доступа к машине?
По описанию Microsoft, атакующий отправляет специально сформированный сетевой пакет в адрес затронутого сервиса, и аутентификация ему не требуется. Именно поэтому уязвимость классифицирована как удалённое выполнение кода.
Источник: windowslatest.com