2026-11-09 01:06:11 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Microsoft Paint 远程代码执行漏洞 CVE-2026-83844 修复上架：补丁只走微软商店、不走 Windows Update

Ots安全

2026年11月7日 19:27
广东

去阅读

威胁简报

恶意软件

漏洞攻击

11 月 6 日，The Hacker News 报道微软已为 Windows 自带画图工具 Paint 的一个远程代码执行漏洞（CVE-2026-83844）发布修复，但这个修复只通过 Microsoft Store 分发，不走 Windows Update。这意味着一台把月度累积更新打满的机器，Paint 仍可能处于易受攻击状态；更麻烦的是，微软安全公告、CVE 记录与 NVD 在\"哪个版本算修好\"上出现了不一致，会让漏洞扫描器误报\"已修复\"。本文按公开信息拆解漏洞机制、这个补丁分发盲点，以及企业该怎么把每台机器上的 Paint 版本查清楚。

一、先看问题：核实结论与偏差

交叉核对微软安全公告（MSRC）、NVD、The Hacker News、RFF（Brian Vitko）的测试记录与多家转述，可确认：

漏洞编号

：CVE-2026-83844。
* 产品

：Windows 自带的 Microsoft Paint（微软商店应用，包名 Microsoft.Paint）。
* 类型

：越界读取（Out-of-bounds Read，CWE-125）。
* 危害

：可导致远程代码执行（RCE）。
* 评分与定级

：CVSS 8.1，微软定级 Important。
* 攻击向量

：微软公告称攻击者可通过网络向\"受影响的服务\"发送特制数据包触发，无需登录、无需用户交互；但微软同时说明，成功利用需要对目标系统有深入理解。公告未点名具体是哪个服务。
* 披露时间

：2026-10-13；披露时微软表示未发现在野利用、也未公开。
* 在野与公开状态

：截至 11 月 6 日，不在 CISA 已知利用漏洞（KEV）目录中，公开渠道未见 PoC。

偏差与待澄清点（钉墙）：

触发向量存在两种口径

：MSRC/THN 的描述是\"网络数据包打到受影响服务、无需用户操作\"；个别转述（如 TechBeacon）写成\"诱使用户用 Paint 打开特制图片文件\"。后者更像图像解析器常见的触发方式，但和公告的\"网络服务数据包\"描述不一致。本文以 MSRC 公告为准（网络向量、无需交互），并提示这个差异。
* 修复版本号前后不一致

（详见第三节），是本次最需要企业留意的地方。
* 越界读取为何能升级为 RCE（而非仅信息泄露），微软未展开说明；公开分析也未给利用链细节，本文不推测武器化路径。

二、越界读取是怎么变成 RCE 的

越界读取（CWE-125）指程序访问了分配给某段缓冲区的边界之外的内存。它常被归为\"信息泄露\"类缺陷，因为读到的越界数据可能泄露内存内容；但在特定条件下，越界读也能成为 RCE 的跳板，例如被越界读破坏的关键长度、指针或对象元数据又被后续逻辑当作可信输入使用，进而引导控制流或触发后续写操作。

在 Paint 这类图像解析程序里，过往大量漏洞都来自\"解析不受信任图片\"时的边界错误：图片的格式字段、尺寸、偏移一旦被构造为异常值，解析器就可能读或写到计划外的内存。CVE-2026-83844 的官方描述把它放在\"数据包与图像内存处理\"的语境中（多家转述据此表述），并明确为网络可达的触发路径。需要强调：微软没有给出完整的利用链，公开信息也没有 PoC，\"越界读到 RCE\"这一步在本文中只作机制层面的说明，不构成可利用性判断。

这里真正值得企业留意的是它的触发门槛：公告称无需登录、无需用户协助，理论上攻击者可在网络可达的前提下远程触发；但\"需要对目标系统有深入理解\"这一限定，意味着它不是一个随手可用的利用，更像需要精细构造的稳定利用。这解释了为何微软给的是 Important 而非 Critical，也说明在野利用门槛不低，但不等于不用修。

三、最关键的坑：补丁不走 Windows Update，扫描器还可能误报

这是本文想重点讲清楚的部分，也是和以往系统级漏洞不同的地方。

坑一：Paint 是商店应用，Windows Update 不管它。
现代 Windows 把一大批内置应用（计算器、照片、记事本、终端等）改为通过 Microsoft Store 分发与更新，Paint 也在其中。因此它的安全修复走的是\"商店应用更新通道\"，不在 Windows Update 的月度累积更新或 Patch Tuesday 周期内。一个把系统补丁打满、甚至开启了自动更新的环境，Paint 仍可能停留在旧版本。依赖 Windows Update 做补丁保证的团队，会在这里出现盲区。

坑二：公告、CVE、NVD 三家说的\"修复版本\"不一致。

微软安全公告当前把修复版本定为 11.2609.401.0。
但公共 CVE 记录（微软同时发布的 CVE 条目）与 NVD 仍写着\"受影响版本低于 11.2605.91.0\"。
而 11.2605.91.0 这个版本，据 RFF 的 Brian Vitko 记录，在现实中从未在任何商店区域出现；微软先是在 10 月 13 日把它列为修复版本，到 11 月 4 日前后又在机器可读安全数据里静默换成了 11.2609.401.0，且修订历史里没有变更说明。

带来的直接后果：漏洞扫描器如果读的是 CVE 记录或 NVD（很多扫描器就是这么干的），会把\"11.2605.91.0 及以上\"判为已修复；可实际上 11.2605.91.0 这个版本根本不存在，真正修好的版本是 11.2609.401.0。于是大量机器会拿到一份\"未受影响\"的误报，而它们实际仍在危险区间。只有 11.2609.401.0 及以上，才能同时过两道版本阈值。

四、怎么把每台机器上的 Paint 版本查清楚

Paint 的版本管理比普通程序麻烦：它是按用户分别安装的（每个登录账户各有一份），Windows 还会保留一份\"预置（provisioned）\"副本，用来给新建用户自动装。只检查当前登录账户，会漏掉其他用户和那份预置副本。

用管理员权限打开 PowerShell，跑两条命令即可枚举：

# 列出所有用户的 Paint 副本及版本Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join', ' } }
# 列出预置副本的版本Get-AppxProvisionedPackage -Online |Where-Object DisplayName -eq 'Microsoft.Paint'|Select-Object Version

任何低于 11.2609.401.0 的副本，都应通过商店更新（或等商店自动更新推送）升到该版本；在 Intune 等设备管理平台里，触发一次\"商店应用更新扫描\"可批量完成。升完再跑上面两条命令，确认每一份（含预置副本）都到 11.2609.401.0 或以上。

五、修复与临时缓解

正式修复

：把 Microsoft.Paint 更新到 11.2609.401.0 或以上。THN 在 11 月 6 日核查的 10 个国家商店区域，该版本都已是 Paint 的现行版本，说明商店侧分发已较广；但每台机器实际何时拿到，取决于商店自动更新是否开启、以及设备是否连得上商店。
* 微软未提供临时缓解或变通方案

（公告里 workaround 一项为空）。
* 补丁到达商店之前的一种思路

（Vitko 提出、未实测）：在确实无人需要 Paint 的机器上，从每个用户和预置副本里移除 Paint。一旦装上修复版本，此步骤即不再必要。是否移除需按各企业自身基线权衡，本文仅转述该建议。