невзлом

К сведению · Windows Paint

CVE-2026-83844 — Paint <11.2609.401.0 RCE (UI:N), фикс только через Microsoft Store

· CVE-2026-83844

← Простая версия для всех

Суть

Out-of-bounds read в Windows Paint. Microsoft: Important, Remote Code Execution, CVSS 8.1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/…, CNA secure@microsoft.com). Вектор — удалённо по сети, без входа и без действия пользователя (UI:N). FAQ MSRC: specially crafted packet к affected service; имя сервиса не названо — не домысливать. AC:H / Exploitation Less Likely — для приоритета парка важнее голого 8.1: атака сложная, но до патча хост всё равно в зоне риска без «открытия Paint».

Затронуто и исправлено

КомпонентУязвимоИсправлено
Microsoft Paint (Store App, 9PCFS5B6T72H)< 11.2609.401.0≥ 11.2609.401.0

MSRC revision 2.0 (06.11.2026). Первичная публикация — 13.10.2026. CVE.org и MSRC на момент хода сходятся на пороге 11.2609.401.0.

Ориентир — современный Store Paint (номер вида 11.x), не классический Win32 mspaint с другими схемами версий.

Paint: копии per-user + provisioned для новых профилей. Проверка только текущего пользователя недостаточна. MSRC: rebootRequired: Maybe.

Эксплуатация

  • MSRC: Exploited No, Publicly Disclosed No, Exploitation Less Likely.
  • CISA KEV — нет.

Как проверить

# Текущий пользователь
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

# Все пользователи (нужны права администратора)
Get-AppxPackage -AllUsers -Name Microsoft.Paint | ForEach-Object {
  $ver = $_.Version
  foreach ($ui in $_.PackageUserInformation) {
    $sid = [string]$ui.UserSecurityId
    try {
      $user = ([Security.Principal.SecurityIdentifier]$sid).
        Translate([Security.Principal.NTAccount]).Value
    } catch { $user = $sid }
    [pscustomobject]@{
      Version = $ver
      User = $user
      InstallState = $ui.InstallState
    }
  }
}

# Provisioned-копия (нужны права администратора)
Get-AppxProvisionedPackage -Online |
  Where-Object DisplayName -eq 'Microsoft.Paint' |
  Select-Object DisplayName, Version

Критерий закрытия: все Version удовлетворяют [version]$v -ge [version]'11.2609.401.0' (не строковое сравнение). Пример порядка: 11.2603.x < 11.2605.x < 11.2609.401.0.

UI (RU): Paint → «Параметры» (шестерёнка) → «О программе». EN: Settings → About.

Как исправить

  1. Интерактивно (RU): Microsoft Store → «Библиотека» → «Получить обновления» / обновить карточку Paint. EN: Library → Get updates. Перезапустить Paint; если Version не ≥ 11.2609.401.0 — перезагрузка ПК и повторная проверка.
  2. Автообновление Store: убедиться, что не отключено; auto-update ≠ закрытие — критерий только фактическая Version на всех копиях.
  3. Парк / Intune / MDM: Store app update scan на все устройства → повтор -AllUsers + provisioned.
  4. Где UI Store недоступен, но источник msstore разрешён — неelevated Terminal под тем пользователем, чью копию чините (elevated/другая учётка не закрывает чужие per-user AppX):
winget upgrade --id 9PCFS5B6T72H --source msstore --accept-source-agreements --accept-package-agreements

Нет winget — Store UI под нужным пользователем или канал MDM. После winget снова -AllUsers + provisioned: winget чинит копию текущего пользователя.

  1. Store полностью запрещён — только управление приложениями организации.

Критерий закрытия — Version ≥ 11.2609.401.0 у всех копий, не «политика Store включена».

Если обновить нельзя

Официального workaround в MSRC нет. Compensating: ускорить Store/MDM; до патча учитывать UI:N (изоляция хоста, не «пока никто не рисует»). Удаление Paint включая provisioned — не вендорский workaround. Неофициальные «патчи» — нет.

Признаки взлома и что делать

IoC Microsoft по этому CVE в источниках хода нет. Старая версия ≠ компромисс. При инциденте: стандартный IR; одного обновления Paint мало, если уже был захват.

Источники