Встроенный в Windows 11 графический редактор Paint оказался уязвим для удалённого взлома без единого клика. Microsoft выпустила исправление ещё в октябре, но пользователи обнаружили неприятный сюрприз. Даже автоматическое обновление приложений не гарантирует защиты.
Уязвимость получила идентификатор CVE-2026-83844 и оценку 8,1 балла из 10 по шкале CVSS. Microsoft раскрыла проблему 13 октября 2026 года, присвоив ей уровень опасности Important. Ошибка позволяет злоумышленнику удалённо запускать произвольный код на компьютере без предварительной авторизации и каких-либо действий со стороны владельца.
Причина кроется в ошибке чтения памяти за пределами выделенной области (out-of-bounds read). Согласно описанию Microsoft, атакующий может отправить специально сформированный сетевой пакет уязвимому компоненту и добиться удалённого выполнения кода. При этом компания не раскрыла точную последовательность эксплуатации и не объяснила, каким образом сетевой запрос достигает графического редактора.
Особенно неприятной оказалась ситуация с исправлением. Microsoft утверждает, что безопасная версия Paint 11.2609.401.0 распространяется через Microsoft Store. Однако журналисты обнаружили на тестовом компьютере сборку 11.2603.251.0, хотя автоматические обновления были включены. Магазин приложений не предлагал установить новую версию и не предупреждал об отсутствии исправления.
Похожую проблему подтвердили системные администраторы в обсуждениях на Reddit. Некоторые пользователи не смогли получить исправление даже после ручного поиска обновлений. Дополнительную путаницу внесли документы Microsoft, где первоначально фигурировала другая исправленная сборка, 11.2605.91.0. Причина расхождений пока не установлена, а официального объяснения задержки нет.
Установка октябрьских обновлений Windows 11 также не гарантирует устранения угрозы. Paint получает исправления отдельно от операционной системы через Microsoft Store. Поэтому компьютер со всеми установленными патчами Windows может сохранять уязвимую версию графического редактора. Корпоративные средства защиты способны обнаружить проблему даже на полностью обновлённой системе.
Проверить установленную версию можно через PowerShell командой Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version. Согласно актуальным рекомендациям Microsoft, ориентироваться следует на сборку 11.2609.401.0 или новее. Если версия отличается, нужно проверить обновления в Microsoft Store. При отсутствии исправления организациям стоит оценить необходимость временного ограничения использования Paint.
Согласно бюллетеню Microsoft, эксплуатация уязвимости отличается высокой сложностью и зависит от конфигурации системы. Подтверждённых сообщений о реальных атаках пока нет. При этом 5 ноября появилась информация о наличии исправленной сборки в каталоге Microsoft Store для нескольких регионов, хотя её доступность для всех пользователей ещё не подтверждена.
Подобные проблемы с графическими инструментами Windows уже возникали. В мае Microsoft исправила уязвимость Paint, позволявшую выполнить вредоносный код после открытия специально подготовленного изображения. А в апреле исследователи обнаружили опасную ошибку во встроенных «Ножницах», через которую злоумышленники могли похищать учётные данные.