Microsoft выпустила исправление для уязвимости CVE-2026-83844 в Windows Paint, позволяющей удалённо выполнить произвольный код. Ключевая особенность: патч распространяется исключительно через Microsoft Store, а не через привычный механизм Windows Update. Это означает, что стандартный цикл установки обновлений безопасности не закроет эту брешь — администраторам необходимо отдельно убедиться, что все копии Paint на управляемых системах обновлены до версии 11.2609.401.0 или новее.
Техническая суть уязвимости
По данным исследования RFF, CVE-2026-83844 представляет собой ошибку чтения за пределами буфера (out-of-bounds read), которую Microsoft классифицирует как уязвимость удалённого выполнения кода. Запись в базе NVD и бюллетень безопасности Microsoft содержат официальное описание уязвимости.
Вокруг оценки серьёзности и вектора атаки сложилась противоречивая ситуация. В исходном бюллетене от 13 октября 2026 года Microsoft указывала оценку CVSS 8.1 с сетевым вектором атаки и отсутствием необходимости взаимодействия с пользователем. Однако, по данным обновлённого исследования RFF, 7 ноября 2026 года Microsoft изменила оценку на CVSS 7.0, указав локальный вектор атаки и необходимость взаимодействия пользователя. Это существенно меняет модель угрозы: вместо полностью удалённой атаки без участия жертвы речь может идти о сценарии, требующем определённых действий со стороны пользователя.
Описание механизма эксплуатации также остаётся неясным. В FAQ бюллетеня Microsoft упоминается «специально подготовленный сетевой пакет, отправленный уязвимому сервису», однако конкретный сервис не назван, а дополнительных деталей бюллетень не содержит. Издание Neowin описывало вектор через открытие специально подготовленного изображения, но этот сценарий не подтверждён бюллетенем Microsoft.
Путаница с версиями и риски для сканеров
История с патчем сопровождалась серьёзной путаницей в номерах версий, которая создаёт реальные проблемы для автоматизированного управления уязвимостями.
Изначально бюллетень Microsoft называл исправленной версию 11.2605.91.0. Однако, как следует из вопроса на Microsoft Q&A, эта версия не была доступна в Microsoft Store — магазин предлагал только более старый билд 11.2605.81.0. Позднее Microsoft обновила бюллетень, указав в качестве исправленной версию 11.2609.401.0, но без отметки об изменении в истории ревизий.
По данным исследования RFF, запись CVE впоследствии также была обновлена и теперь указывает версии ниже 11.2609.401.0 как уязвимые. Однако на момент публикации исследования запись NVD всё ещё находилась в статусе «Undergoing Analysis» без конфигурации затронутых версий. Это означает, что сканеры уязвимостей, полагающиеся на данные NVD, могут ошибочно считать уязвимые системы защищёнными. Администраторам следует проверять версии Paint вручную, не полагаясь исключительно на автоматизированные средства.
Особенности проверки и обновления
Приложения из Microsoft Store устанавливаются отдельно для каждой учётной записи пользователя. Кроме того, Windows хранит так называемую «provisioned»-копию, которая автоматически устанавливается для каждого нового пользователя. Проверка только текущей учётной записи может пропустить уязвимые копии Paint у других пользователей системы.
Для полной проверки всех копий Paint необходимо выполнить в PowerShell с правами администратора две команды:
Проверка копий всех пользователей:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Проверка provisioned-копии:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Параметр -AllUsers критически важен: без него команда покажет только копию текущего пользователя.
Рекомендации по устранению
- Обновите Paint через Microsoft Store до версии 11.2609.401.0 или новее. В средах с Intune или аналогичными инструментами управления устройствами используйте механизм сканирования обновлений Store-приложений.
- После обновления повторно выполните обе команды PowerShell и убедитесь, что все копии — для каждого пользователя и provisioned — обновлены.
- Не полагайтесь на автоматические сканеры уязвимостей как на единственный индикатор: данные NVD могут быть неполными.
- Если Paint не используется на рабочих станциях, рассмотрите его удаление для всех пользователей и из provisioned-пакета как дополнительную меру снижения поверхности атаки.
Ранее мы уже освещали октябрьский цикл обновлений Microsoft в материале Patch Tuesday октябрь 2026, в рамках которого был опубликован и первоначальный бюллетень по CVE-2026-83844.
Главный практический вывод: стандартный процесс установки обновлений Windows не закрывает эту уязвимость. Администраторам корпоративных сред необходимо отдельно проверить версии Paint на всех управляемых системах, используя приведённые команды PowerShell, и при необходимости инициировать обновление через Microsoft Store или средства управления устройствами.
