Исправление для CVE-2026-83844, уязвимости удаленного выполнения кода в Windows Paint, теперь доступно в Microsoft Store. Paint получает это исправление только через обновление из магазина, а не через обновления Windows.
Исправленная сборка, 11.2609.401.0, оказалась самой новой сборкой Paint во всех десяти странах, проверенных The Hacker News сегодня.
Уязвимость представляет собой чтение за пределами допустимых границ, которое может позволить злоумышленнику выполнить код по сети. Microsoft оценивает ее как «Важную» с показателем CVSS 8,1 и заявляет, что для успешной атаки требуется глубокое понимание целевой системы. Уязвимость не была известна как эксплуатируемая или публично раскрытая на момент публикации компанией 13 октября.
Брайан Витко из RFF, производителя программного обеспечения для управления устройствами, на этой неделе проверил, какие сборки Paint предлагал магазин в шести странах. Он обнаружил, что самой новой в каждой стране была сборка 11.2605.81.0, сборка без исправления.
С тех пор его тестовая виртуальная машина самостоятельно обновилась до исправленной сборки через автоматическое обновление магазина. Это одна машина, и пока неясно, как быстро другие ПК получат эту сборку.
В рекомендациях по безопасности Microsoft указана сборка 11.2609.401.0 как исправленная. В записи CVE для уязвимости, которую компания также публикует, Paint по-прежнему указан как затронутый только ниже версии 11.2605.91.0. В его записи NVD показан тот же диапазон.
Таким образом, сканер, который считывает запись CVE, будет считать любую сборку от 11.2605.91.0 и выше исправленной. Копия версии 11.2609.401.0 или новее пройдет проверку по обоим номерам.
Еще на прошлой неделе в рекомендациях указывалась сборка 11.2605.91.0 как исправленная, согласно вопросу на форуме в Microsoft Q&A. История изменений рекомендаций по-прежнему показывает только запись от 13 октября, без каких-либо примечаний об изменении.
Paint, как и другие приложения из магазина, устанавливается отдельно для каждой учетной записи пользователя на ПК. Windows также может хранить подготовленную копию, которую она устанавливает для каждого нового пользователя. Проверка только активной учетной записи может пропустить старые копии.
В описании теста Витко приведены две команды для выполнения в окне PowerShell, открытом от имени администратора. Первая перечисляет копию Paint для каждого пользователя, а вторая — подготовленную копию.
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Для любой копии ниже версии 11.2609.401.0:
В рекомендациях не указаны обходные пути или меры смягчения последствий. До того, как исправление появилось в магазине, Витко предлагал удалить Paint там, где он никому не нужен, для каждого пользователя и из подготовленной копии. Он не тестировал этот шаг.
Злоумышленник может использовать уязвимость, отправив «специально сформированный пакет в затронутый сервис по сети», говорится в рекомендациях, но сам сервис не указан. Атака не требует входа в систему и не требует участия пользователя.
Уязвимость не была включена в каталог известных эксплуатируемых уязвимостей, который ведет Агентство по кибербезопасности и защите инфраструктуры США (CISA), когда The Hacker News проверял его сегодня. Каталог был в последний раз обновлен на этой неделе.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
