Paint оказался дырявым: уязвимость позволяет удалённо взламывать Windows 11 — Microsoft выпустила патч, но он не приходит

В приложении Paint для Windows 11 обнаружена уязвимость, которая позволяет злоумышленникам удалённо выполнять произвольный код на компьютере без участия пользователя. Microsoft уже подготовила исправление, однако оно пока не отображается в магазине Microsoft даже на устройствах с включённым автоматическим обновлением приложений. Проблема получила идентификатор CVE-2026-83844 и оценку опасности 8,1 балла из 10.

Уязвимость связана с ошибкой чтения данных за пределами выделенной области памяти (out-of-bounds read). По описанию Microsoft, злоумышленнику достаточно отправить специально сформированный сетевой пакет уязвимой службе, чтобы инициировать выполнение собственного кода на целевом компьютере. При этом для атаки не требуется предварительная аутентификация.

Microsoft отнесла проблему к категории «Важные баги» (Important), которая стоит ниже наиболее серьёзного уровня «Критический» (Critical). Компания также отмечает, что эксплуатация уязвимости затруднена, а сообщений о реальных атаках с её использованием пока не поступало.

Хотя исправление было выпущено 13 октября через Microsoft Store и, согласно документации, защита обеспечивается в Paint версии 11.2609.401.0 и новее, издание Windows Latest обнаружило, что даже при включённом автоматическом обновлении магазин не предлагает установить новую версию. Проверка настроек самого Paint показала, что установлена версия 11.2603.251.0.

Другие пользователи сообщили об аналогичной проблеме, причём обновление не удалось получить даже с помощью сторонних инструментов загрузки пакетов MSIX. Причины происходящего пока неизвестны.

Обычное обновление Windows 11 также не гарантирует устранения проблемы, поскольку Paint обновляется отдельно через Microsoft Store. Проверить установленную версию можно с помощью Windows PowerShell, выполнив команду: Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version. Если номер ниже 11.2609.401.0, то, согласно документации Microsoft, приложение считается уязвимым.