В Windows Paint обнаружили уязвимость, из-за которой удалённый злоумышленник может выполнить свой код на чужой машине. Приложение входит в поставку Windows, поэтому стоит на большинстве рабочих станций. Открывать файл или нажимать кнопки не нужно. Учётные данные для атаки тоже не требуются, а уровень опасности Microsoft оценила как Important.
Что известно об уязвимости
Уязвимость получила идентификатор CVE-2026-83844. Сведения раскрыли 13 октября 2026 года, запись в каталоге обновили 31 октября. Базовая оценка CVSS 3.1 составляет 8.1 из 10, временная - 7.1. Ошибку отнесли к классу CWE-125, чтение за границами буфера.
Механизм ошибки
Чтение за границами буфера означает, что программа обращается к памяти за пределами выделенного участка. Так происходит, когда код неверно вычисляет длину или индекс. Обычно такая ошибка раскрывает содержимое памяти или роняет приложение. Здесь Microsoft допускает не только утечку данных, но и выполнение кода. По конфиденциальности, целостности и доступности ущерб оценён как высокий, область действия не меняется.
Условия атаки
Атака идёт по сети: злоумышленник отправляет специально собранный пакет в уязвимый сервис. Аутентификация и действия пользователя не нужны. При этом в уведомлении не названы ни сам сервис, ни сетевой порт, ни подробная цепочка выполнения. Из-за этого защитнику труднее проверить, доступен ли уязвимый компонент извне.
Сложность атаки Microsoft отметила как высокую. По её объяснению, успех требует глубокого понимания системы и зависит от окружения, конфигурации и дополнительных средств защиты. Гарантии успеха нет.
Распространённое допущение здесь не работает: вручную обрабатывать картинку не требуется. Microsoft прямо описывает эту ошибку как сетевую атаку без участия пользователя. Поэтому проверка почтовых вложений и запрет на открытие подозрительных изображений ничего не решают.
Исправление
Microsoft выпустила обновление Paint со сборкой 11.2609.401.0. Оно распространяется как обновление Store App, а не через обычный ежемесячный цикл исправлений операционной системы. В записи CVE уязвимыми помечены версии начиная с 11.0.0.0 и до 11.2605.91.0. Сверять нужно версию самого приложения, а не только статус системных патчей.
Обходных мер Microsoft не привела. По сообщениям, обновление появлялось в Microsoft Store неравномерно, поэтому прямую проверку версии лучше не откладывать. Для парка машин это означает отдельную инвентаризацию приложений из Store, а не сверку одного списка патчей.
Эксплуатация
На момент публикации Microsoft не зафиксировала атак с использованием этой уязвимости. Зрелость эксплойта отмечена как Unproven, уровень исправления - Official Fix, достоверность отчёта - Confirmed. Оценка эксплуатации при выпуске - Exploitation Less Likely. CISA в пометке ADP указала, что фактов эксплуатации нет, автоматизировать атаку нельзя, а техническое воздействие полное.
Историческая оценка не отменяет риска для тех, кто не обновился. Paint остаётся на машинах, где приложения Store обновляют вручную или нерегулярно. Поэтому при октябрьском пересмотре обновлений полезно отдельно найти устаревшие копии Paint и поставить официальное исправление. За сообщение об ошибке Microsoft благодарит анонимного исследователя.
Ссылки
