Исправление уязвимости удалённого выполнения кода CVE-2026-83844 для Windows Paint уже доступно, но через Центр обновления Windows оно не устанавливается. Paint обновляется отдельно — через Microsoft Store, вручную или автоматически. Microsoft указывает исправленной версию 11.2609.401.0.
Уязвимость описана как чтение за пределами выделенной области памяти (out-of-bounds read), которое при определённых условиях может позволить атакующему выполнить код через сеть. Microsoft присвоила ей уровень Important и оценку CVSS 8,1. По данным компании, для успешной атаки требуется глубокое знание целевой системы.
В бюллетене Microsoft говорится, что атакующий может отправить «специально сформированный пакет уязвимой службе по сети». Какая именно служба имеется в виду, не уточняется. Вход в систему и действия пользователя для атаки не требуются. На момент публикации бюллетеня, 13 октября, Microsoft не знала ни об использовании уязвимости в атаках, ни о её публичном раскрытии.
С версиями исправления есть расхождение. Бюллетень Microsoft называет исправленной сборку 11.2609.401.0, тогда как запись CVE и Национальная база данных уязвимостей США (NVD) считают затронутыми только версии ниже 11.2605.91.0. Сканер, который опирается на запись CVE, может признать безопасной уже версию 11.2605.91.0. Сборка 11.2609.401.0 и новее удовлетворяет обоим порогам.
По вопросу на Microsoft Q&A, ещё неделей ранее в бюллетене исправленной значилась версия 11.2605.91.0. История редакций документа по-прежнему содержит только запись от 13 октября и не объясняет смену номера сборки.
The Hacker News проверил доступную в Microsoft Store последнюю версию Paint в десяти странах. Во всех десяти это была сборка 11.2609.401.0. Ранее на той же неделе Брайан Витко из RFF, разработчика ПО для управления устройствами, проверил Store в шести странах и везде обнаружил более старую версию 11.2605.81.0. Позже тестовая виртуальная машина Витко самостоятельно обновилась до 11.2609.401.0 через автоматическое обновление Store. Но это результат для одного устройства; скорость распространения обновления на остальные компьютеры пока неизвестна.
Проверять нужно каждую копию Paint. Приложения Microsoft Store устанавливаются отдельно для каждой учётной записи, а Windows может хранить подготовленную копию (provisioned copy), которая появится у новых пользователей. Проверка только активного профиля способна пропустить старую версию. В административном окне PowerShell можно выполнить две команды:
[]Для подготовленной копии: Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Если хотя бы одна копия старше 11.2609.401.0, обновите Paint через Microsoft Store или дождитесь автоматической установки. Для нескольких компьютеров обновление можно запустить средствами управления устройствами, включая Intune, используя сканирование обновлений приложений Store. После этого повторите обе команды и убедитесь, что все найденные копии имеют версию 11.2609.401.0 или новее.
Microsoft не указала обходного решения или способа смягчить уязвимость. До появления исправления в Store Витко предлагал удалить Paint, если он не нужен, причём из всех учётных записей и из подготовленной копии. Сам этот способ он не проверял.
На момент проверки The Hacker News CVE-2026-83844 не было в каталоге известных эксплуатируемых уязвимостей KEV, который ведёт Агентство по кибербезопасности и защите инфраструктуры США (CISA). Каталог обновлялся ранее на той же неделе.
Изображение носит иллюстративный характер
Уязвимость описана как чтение за пределами выделенной области памяти (out-of-bounds read), которое при определённых условиях может позволить атакующему выполнить код через сеть. Microsoft присвоила ей уровень Important и оценку CVSS 8,1. По данным компании, для успешной атаки требуется глубокое знание целевой системы.
В бюллетене Microsoft говорится, что атакующий может отправить «специально сформированный пакет уязвимой службе по сети». Какая именно служба имеется в виду, не уточняется. Вход в систему и действия пользователя для атаки не требуются. На момент публикации бюллетеня, 13 октября, Microsoft не знала ни об использовании уязвимости в атаках, ни о её публичном раскрытии.
С версиями исправления есть расхождение. Бюллетень Microsoft называет исправленной сборку 11.2609.401.0, тогда как запись CVE и Национальная база данных уязвимостей США (NVD) считают затронутыми только версии ниже 11.2605.91.0. Сканер, который опирается на запись CVE, может признать безопасной уже версию 11.2605.91.0. Сборка 11.2609.401.0 и новее удовлетворяет обоим порогам.
По вопросу на Microsoft Q&A, ещё неделей ранее в бюллетене исправленной значилась версия 11.2605.91.0. История редакций документа по-прежнему содержит только запись от 13 октября и не объясняет смену номера сборки.
The Hacker News проверил доступную в Microsoft Store последнюю версию Paint в десяти странах. Во всех десяти это была сборка 11.2609.401.0. Ранее на той же неделе Брайан Витко из RFF, разработчика ПО для управления устройствами, проверил Store в шести странах и везде обнаружил более старую версию 11.2605.81.0. Позже тестовая виртуальная машина Витко самостоятельно обновилась до 11.2609.401.0 через автоматическое обновление Store. Но это результат для одного устройства; скорость распространения обновления на остальные компьютеры пока неизвестна.
Проверять нужно каждую копию Paint. Приложения Microsoft Store устанавливаются отдельно для каждой учётной записи, а Windows может хранить подготовленную копию (provisioned copy), которая появится у новых пользователей. Проверка только активного профиля способна пропустить старую версию. В административном окне PowerShell можно выполнить две команды:
- []
[]Для подготовленной копии: Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Если хотя бы одна копия старше 11.2609.401.0, обновите Paint через Microsoft Store или дождитесь автоматической установки. Для нескольких компьютеров обновление можно запустить средствами управления устройствами, включая Intune, используя сканирование обновлений приложений Store. После этого повторите обе команды и убедитесь, что все найденные копии имеют версию 11.2609.401.0 или новее.
Microsoft не указала обходного решения или способа смягчить уязвимость. До появления исправления в Store Витко предлагал удалить Paint, если он не нужен, причём из всех учётных записей и из подготовленной копии. Сам этот способ он не проверял.
На момент проверки The Hacker News CVE-2026-83844 не было в каталоге известных эксплуатируемых уязвимостей KEV, который ведёт Агентство по кибербезопасности и защите инфраструктуры США (CISA). Каталог обновлялся ранее на той же неделе.
