Microsoft Paint: RCE через файл изображения, а патч есть только в Microsoft Store

Коротко: уязвимость CVE-2026-83844 (CVSS 8.1) — это ошибка чтения за границами буфера в коде Paint, который разбирает файлы изображений. Специально сформированный файл заставляет Paint прочитать данные за пределами выделенной памяти, что может привести к выполнению произвольного кода. Microsoft раскрыла проблему в рамках октябрьского Patch Tuesday 2026 года, но патч доставляется не через обычный Windows Update, а отдельным обновлением приложения Paint в Microsoft Store — сборка 11.2609.401.0. Проверьте версию Paint вручную: автоматически патч мог не дойти.

Что произошло

CVE-2026-83844 — уязвимость типа out-of-bounds read (чтение за границами буфера) в приложении Microsoft Paint для Windows. Проблема кроется в коде, который разбирает файл изображения при его открытии: парсер читает данные за пределами выделенного под изображение участка памяти. Microsoft оценивает уязвимость в 8.1 балла по шкале CVSS 3.1 и присваивает ей уровень важности «Important», а вектор атаки описывает как сетевой, с высокой сложностью эксплуатации.

Эксплуатация строится на том же принципе, что и большинство уязвимостей парсеров файлов: жертве нужно открыть в Paint специально созданный файл изображения, после чего ошибка чтения памяти в теории может быть доведена до выполнения произвольного кода с правами текущего пользователя. Microsoft раскрыла уязвимость 13 октября 2026 года в составе ежемесячного пакета обновлений безопасности; публичных эксплойтов и случаев реальной эксплуатации на момент публикации не зафиксировано.

Почему патч не приходит через Windows Update

Главная практическая сложность не в самой уязвимости, а в доставке исправления. Как и многие встроенные приложения Windows 10/11, Paint распространяется и обновляется через Microsoft Store, а не через классическую инфраструктуру Windows Update — поэтому обычная проверка обновлений системы патч не покажет. Исправленной объявлена сборка 11.2609.401.0.

Ситуацию дополнительно запутала ошибка в документации: на странице бюллетеня Microsoft сначала как исправленная была указана версия 11.2605.91.0, но пользователи сообщали, что в Microsoft Store им по-прежнему предлагалась уязвимая 11.2605.81.0 — реального обновления под тем номером не существовало. Позже запись в MSRC поправили на верную сборку 11.2609.401.0. Обновление раскатывается поэтапно и регионально: отдельные пользователи отмечали, что рабочая версия сначала появилась только в некоторых странах Южной Азии, а не глобально.

Кто под ударом

Уязвимы сборки Paint с 11.0.0.0 до версии ниже 11.2605.91.0 — то есть практически любая не обновлённая вручную копия приложения на современных Windows 10 и 11, где Paint установлен по умолчанию. Публичного proof-of-concept нет, Microsoft оценивает эксплуатацию как маловероятную из-за высокой сложности атаки, но сама категория бага — классическая ошибка парсера изображений — делает её однотипной с другими уязвимостями, которые Microsoft закрывала в этом же октябрьском пакете, включая более серьёзную RCE в расширении для RAW-снимков.

Что делать прямо сейчас

1. Откройте Microsoft Store → «Библиотека» → «Получить обновления», чтобы Paint обновился даже при отключённых автообновлениях приложений.
2. Проверьте установленную версию: в самом Paint откройте меню «Параметры» → «О программе», либо через PowerShell командой Get-AppxPackage *Paint* — версия должна быть не ниже 11.2609.401.0.
3. В корпоративной среде уточните у администратора, доставляются ли Store-обновления отдельных приложений вроде Paint через внутренние каналы, или их нужно разворачивать вручную.
4. До установки патча избегайте открытия в Paint файлов изображений из непроверенных источников — присланных по почте, скачанных из незнакомых архивов или мессенджеров.

Если не уверены, что за файл вам прислали и стоит ли вообще его открывать, сначала проверьте реальный формат — инструмент определения формата файла по сигнатуре покажет истинный тип без запуска просмотрщика. Похожий случай — RCE через автоматическую генерацию миниатюр, где заражение происходило вообще без открытия файла, — разбирали в новости об уязвимости Windows Raw Image Extension. Общие правила безопасной работы с присланными файлами — в разделе безопасность файлов.

Источники

• Techzine — Paint vulnerability allows RCE, patch is hard to find
• The Hacker News — Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It