Microsoft випустила патч для вразливості CVE-2026-83844 у Windows Paint, яка дозволяє віддалено виконати довільний код. Ключова особливість: патч поширюється виключно через Microsoft Store, а не через звичний механізм Windows Update. Це означає, що стандартний цикл встановлення оновлень безпеки не закриє цю прогалину — адміністраторам необхідно окремо переконатися, що всі копії Paint на керованих системах оновлені до версії 11.2609.401.0 або новішої.
Технічна суть вразливості
За даними дослідження RFF, CVE-2026-83844 являє собою помилку читання за межами буфера (out-of-bounds read), яку Microsoft класифікує як вразливість віддаленого виконання коду. Запис у базі NVD і бюлетень безпеки Microsoft містять офіційний опис вразливості.
Навколо оцінки серйозності та вектора атаки склалася суперечлива ситуація. В початковому бюлетені від 13 жовтня 2026 року Microsoft вказувала оцінку CVSS 8.1 із мережевим вектором атаки та відсутністю необхідності у взаємодії з користувачем. Однак, за даними оновленого дослідження RFF, 7 листопада 2026 року Microsoft змінила оцінку на CVSS 7.0, вказавши локальний вектор атаки та необхідність взаємодії користувача. Це суттєво змінює модель загрози: замість повністю віддаленої атаки без участі жертви йдеться про сценарій, що потребує певних дій з боку користувача.
Опис механізму експлуатації також залишається неясним. У розділі FAQ бюлетеня безпеки Microsoft згадується «спеціально підготовлений мережевий пакет, надісланий вразливому сервісу», однак конкретний сервіс не названий, а додаткових деталей бюлетень не містить. Видання Neowin описувало вектор через відкриття спеціально підготовленого зображення, але цей сценарій не підтверджений бюлетенем Microsoft.
Плутанина з версіями та ризики для сканерів
Історія з патчем супроводжувалася суттєвою плутаниною в номерах версій, яка створює реальні проблеми для автоматизованого керування вразливостями.
Спочатку бюлетень Microsoft називав виправленою версію 11.2605.91.0. Однак, як випливає з запитання на Microsoft Q&A, ця версія не була доступна в Microsoft Store — магазин пропонував лише старіший білд 11.2605.81.0. Згодом Microsoft оновила бюлетень, вказавши як виправлену версію 11.2609.401.0, але без позначки про зміну в історії ревізій.
За даними дослідження RFF, запис CVE згодом також був оновлений і тепер вказує версії нижче 11.2609.401.0 як вразливі. Однак на момент публікації дослідження запис NVD все ще перебував у статусі «Undergoing Analysis» без конфігурації заторкнутих версій. Це означає, що сканери вразливостей, які покладаються на дані NVD, можуть помилково вважати вразливі системи захищеними. Адміністраторам слід перевіряти версії Paint вручну, не покладаючись виключно на автоматизовані засоби.
Особливості перевірки та оновлення
Застосунки з Microsoft Store встановлюються окремо для кожного облікового запису користувача. Крім того, Windows зберігає так звану «provisioned»-копію, яка автоматично встановлюється для кожного нового користувача. Перевірка лише поточного облікового запису може пропустити вразливі копії Paint в інших користувачів системи.
Для повної перевірки всіх копій Paint необхідно виконати в PowerShell з правами адміністратора дві команди:
Перевірка копій усіх користувачів:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Перевірка provisioned-копії:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Параметр -AllUsers має критичне значення: без нього команда покаже лише копію поточного користувача.
Рекомендації щодо усунення
- Оновіть Paint через Microsoft Store до версії 11.2609.401.0 або новішої. У середовищах з Intune чи подібними інструментами керування пристроями використовуйте механізм сканування оновлень застосунків Store.
- Після оновлення повторно виконайте обидві команди PowerShell і переконайтеся, що усі копії — для кожного користувача і provisioned — оновлені.
- Не покладайтеся на автоматичні сканери вразливостей як на єдиний індикатор: дані NVD можуть бути неповними.
- Якщо Paint не використовується на робочих станціях, розгляньте його видалення для всіх користувачів і з provisioned-пакета як додатковий захід зі зменшення площі атаки.
Раніше ми вже висвітлювали жовтневий цикл оновлень Microsoft у матеріалі Patch Tuesday жовтень 2026, в межах якого був опублікований і початковий бюлетень по CVE-2026-83844.
Основний практичний висновок: стандартний процес встановлення оновлень Windows не закриває цю вразливість. Адміністраторам корпоративних середовищ необхідно окремо перевірити версії Paint на всіх керованих системах, використовуючи наведені команди PowerShell, і за потреби ініціювати оновлення через Microsoft Store або засоби керування пристроями.
