CVE-2026-83844 — уязвимость в Paint для Windows 11, которую Microsoft оценила в 8,1 балла из 10 и закрыла 13 октября. Исправленную версию Microsoft указала, но пользователи, администраторы и журналисты в начале ноября не нашли её в Microsoft Store. Насколько проблема массовая, неизвестно. Об атаках через эту дыру Microsoft на момент публикации не сообщала, так что поводов для паники нет. Но проверить свой Paint стоит — и заодно понять, почему «Центр обновления Windows» больше не отвечает за все программы, которые идут вместе с системой.
Что известно об уязвимости
Октябрьский пакет исправлений Microsoft получился рекордным: больше 1400 уязвимостей за один день. BleepingComputer насчитал 1411, Qualys — 1414. Paint в этом списке занимает одну строчку, и в общих обзорах его почти не заметили.
Описание у Microsoft короткое: чтение за пределами буфера в Windows Paint позволяет неавторизованному злоумышленнику выполнить код по сети. Если перевести с языка уязвимостей, программа в какой-то ситуации читает данные за пределами отведённой ей области памяти — обычно такое случается при разборе данных, устроенных не так, как она ожидает. Чаще всего подобные ошибки роняют программу или выдают наружу куски чужой памяти. Microsoft пишет, что эта ошибка может привести к выполнению кода, но не раскрывает, как именно.
Оценка 8,1 складывается так: атака идёт по сети, не требует ни учётной записи, ни действий со стороны пользователя, а потенциальный ущерб для конфиденциальности, целостности и доступности Microsoft считает высоким. Но сложность атаки отмечена как высокая. В пояснении Microsoft сказано, что атакующему нужно глубоко понимать систему, а успех не гарантирован и зависит от окружения, настроек и защитных механизмов. Уровень опасности — «Важный», а не «Критический». Публично уязвимость до выхода исправления не раскрывали, известных случаев атак Microsoft не называет, а вероятность эксплуатации оценивает как низкую. В разметке американского агентства кибербезопасности CISA картина та же: на момент оценки эксплуатация не отмечена, а автоматизировать атаку, по их оценке, нельзя.
Кто нашёл уязвимость, неизвестно: в благодарностях Microsoft указан анонимный исследователь. Подробного сценария атаки и демонстрационного эксплойта Microsoft не публиковала, и в материалах, которые я нашёл, их тоже нет.
Странная деталь: «пакет к уязвимой службе»
На вопрос «как злоумышленник может воспользоваться уязвимостью» Microsoft отвечает: неавторизованный атакующий отправляет специально сформированный сетевой пакет к уязвимой службе, никаких действий пользователя не требуется. Для графического редактора это звучит странно: Paint — обычное приложение, а не сетевая служба, которая ждёт входящих подключений.
Похоже, дело в шаблоне. Я проверил октябрьский выпуск через открытый API Microsoft: та же фраза слово в слово стоит в описаниях 57 уязвимостей — у DHCP-сервера, DNS, сервера сетевых политик и других компонентов, которые действительно принимают пакеты из сети. Значит, по этой фразе нельзя понять, как атака устроена именно в случае Paint.
Для сравнения: в феврале 2026 года Microsoft закрывала уязвимость CVE-2026-20841 в Блокноте и объяснила её подробно. Пользователь открывает Markdown-файл, нажимает на ссылку внутри, и Блокнот запускает то, что запускать не должен. Там же Microsoft отдельно пояснила, почему уязвимость называется «удалённой», хотя сама атака выполняется на компьютере жертвы. Для Paint таких пояснений нет.
Techzine и другие издания пишут, что атака идёт через специально подготовленную картинку, а Windows Latest вынес в заголовок «уязвимость без единого клика». Первое — логичная догадка для графического редактора, но в тексте Microsoft её нет. Второе — пересказ отметки «без действий пользователя» в оценке, а не установленный факт. Пока подробности не опубликованы, способ атаки остаётся неясным, и честнее так и говорить.
Кого это касается
Уязвимым Microsoft называет Paint начиная с версии 11.0.0.0. Это современный Paint из Microsoft Store, который ставится вместе с Windows 11: в карточке магазина минимальная система — Windows 11. Классический Paint из Windows 10 в списке затронутых продуктов не значится. На моём ноутбуке с Windows 10 стоит именно он, версия 10.0.19041, а пакета из магазина нет вовсе. Отсутствие в списке значит только то, что Microsoft его не указала, а не что старый Paint проверили и признали безопасным. Поддержка Windows 10 к тому же закончилась ещё 14 октября 2025 года.
Если будете искать уязвимость в каталоге Microsoft, не пугайтесь: по слову Paint там находятся ещё три октябрьские записи вроде «Use after free in Paint». Это другие уязвимости: они относятся к движку Chromium, где Paint — название подсистемы отрисовки, и Microsoft закрывает их обновлением браузера Edge.
Патч, которого нет в магазине
Главная проблема этой истории не в самой уязвимости, а в доставке исправления. Paint в Windows 11 обновляется не через «Центр обновления Windows», а через Microsoft Store, как обычное приложение. В бюллетене Microsoft так и написано: исправление — обновление приложения в Store, от пользователя требуются действия.
Дальше начинается путаница с номерами версий. Сейчас Microsoft указывает исправленную сборку 11.2609.401.0. При этом запись CVE на cve.org, обновлённая 31 октября, по-прежнему говорит, что уязвимы версии до 11.2605.91.0. По данным Techzine, этот номер сначала стоял и в бюллетене Microsoft. Его же называет пользователь, который 30 октября спросил на официальном форуме Microsoft Q&A, где взять обновление. Он пишет, что в магазине доступна только 11.2605.81.0, а версию 11.2605.91.0 не удаётся найти ни в Store, ни в публичных данных о выпусках. Под вопросом отметились больше сорока человек с той же проблемой. Ответил один участник форума, не сотрудник Microsoft: предположил, что в номере опечатка. От самой Microsoft ответа на странице нет.
Смена номера на 11.2609.401.0 в истории изменений бюллетеня не отражена: там до сих пор одна запись от 13 октября — «информация опубликована».
Вопросы с доступностью обновления остались и после смены номера. 5 ноября о проблеме написали Windows Latest и Techzine. У автора Windows Latest автообновление магазина включено, но Paint остался на версии 11.2603.251.0, и Store обновлений не предлагает. По данным Techzine, магазин продолжал раздавать 11.2605.81.0, а сброс кэша магазина не помогал. Похоже, что в номере версии Paint зашиты год и месяц сборки: 2603 — март, 2605 — май, 2609 — сентябрь. Если это так, то у тех, кто жаловался, не было даже сентябрьской сборки, которую Microsoft называет исправленной. Но это моя догадка по нумерации, Microsoft такую схему не описывает.
Почему так, неизвестно. Возможно, обновление раскатывают постепенно и не во всех странах сразу: Techzine пересказывает слова пользователя, что патч доступен только в Южной Азии, а ссылка на магазин в бюллетене Microsoft ведёт на сингапурскую версию Store. Но это совпадение, а не подтверждение. Возможно и другое: в бюллетене снова не тот номер. Официального объяснения на 6 ноября нет.
Как проверить версию Paint и что делать
Сначала откройте Microsoft Store, зайдите в «Библиотеку» и нажмите «Получить обновления». Потом проверьте номер версии: то, что магазин что-то обновил, ещё не значит, что встала нужная сборка.
Точный номер версии показывает PowerShell. Запускать лучше в обычной «Windows PowerShell» из меню «Пуск»: в новой PowerShell 7 модуль для работы с приложениями из магазина у меня не загрузился, команда упала с ошибкой.
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, VersionMicrosoft называет исправленной сборку 11.2609.401.0: если у вас она или новее, всё в порядке. Если версия ниже, обновление до вас ещё не дошло. Если команда выполнилась без ошибки и ничего не вывела, Paint из магазина не установлен для вашей учётной записи — у других пользователей того же компьютера он при этом может быть.
Если обновление не приходит, нервничать не стоит: известных атак нет, а сложность Microsoft оценивает как высокую. Но и ждать сложа руки тоже не обязательно. Пока Microsoft не объяснила, как устроена атака, можно временно не пользоваться Paint и не открывать в нём файлы из почты, мессенджеров и с незнакомых сайтов. Если Paint назначен программой для картинок по умолчанию, поменяйте его в «Параметрах», в разделе «Приложения», пункт «Приложения по умолчанию». Если Paint вам вообще не нужен, его можно удалить там же, в списке установленных приложений, и вернуть из магазина, когда исправленная версия станет доступна. Это меры предосторожности, а не рекомендация Microsoft: насколько они помогают против именно этой уязвимости, неизвестно. Тем, кто отвечает за парк компьютеров, стоит собрать отчёт по версиям Paint через систему управления устройствами, а не верить статусу «все обновления установлены».
Почему это касается не только Paint
Microsoft уже несколько лет переводит встроенные программы Windows 11 в магазин: Paint, Блокнот, «Ножницы», медиаплеер, кодеки. Обновлять их так быстрее, но у этого есть обратная сторона: «Центр обновления Windows» за них больше не отвечает. В том же октябрьском выпуске через Store закрывалась ещё одна уязвимость — в расширении для видео MPEG-2, а в феврале — уже упомянутая уязвимость в Блокноте.
Каждый второй вторник месяца Microsoft выпускает исправления, и в эти дни стоит заглядывать не только в «Центр обновления», но и в «Библиотеку» Microsoft Store. История с Paint показывает, что даже там «обновлений нет» не всегда значит «всё исправлено».
