Уязвимостта в приложението Paint за Windows на Microsoft, идентифицирана като CVE-2026-83844, може да позволи на неавтентикиран атакуващ да изпълни код по мрежата без взаимодействие с потребителя.
Пропускът има оценка по CVSS от 8.1, което го поставя в категорията с висока (High), а не с критична (Critical) степен на сериозност. Въпреки това объркването около коригираната версия на Paint усложни проверките на корекциите за сигурност за администраторите на Windows.
Уязвимостта произтича от четене извън границите на паметта (out-of-bounds read) – грешка в паметта, при която софтуерът чете данни извън предвидените за него граници.
Microsoft публикува бюлетина за сигурност на 13 октомври 2026 г. Оценката на компанията посочва мрежов вектор на атака, липса на изисквани привилегии и висока сложност на атаката, което означава, че успешното експлоатиране зависи от условия, които правят атаката по-трудна за осъществяване.
Уязвимост за отдалечено изпълнение на код без кликване (0-Click RCE) в Paint за Windows
Разкритието беше част от октомврийския цикъл на обновяване, отразен в доклада на Cybersecurity News за October Patch Tuesday на Microsoft. За администраторите непосредственото притеснение не е просто дали съществува обновяване, а дали коригираната компилация на приложението действително е достигнала до управляваните устройства.
Първоначално Microsoft посочи версия 11.2605.91.0 на Paint като изданието с отстранена уязвимост. Администраторите съобщиха, че Microsoft Store продължава да предлага версия 11.2605.81.0 дори след проверки за обновявания и изчистване на кеша на магазина.
В бюлетина на Microsoft като корекция за сигурност беше посочена версия 11.2609.401.0, което предполага, че по-ранната референция към версията може да е била неправилна. Microsoft не е потвърдила това обяснение.
Наличността на обновяването също изглежда непоследователна. Някои администратори съобщиха за трудности при получаването на коригирана компилация, докато един участник в дискусията в Reddit заяви, че обновяването е станало достъпно през Microsoft Store. Тези отделни доклади не установяват универсален статус на разпространение. Твърденията, че наличността зависи от региона, също остават непотвърдени.
Специално конструирано изображение би могло да задейства пропуска, но цитираните указания на Microsoft описват специално създаден мрежов пакет, изпратен до засегната услуга. Дискусията в Hacker News подчертава липсващия детайл: не са идентифицирани нито изложената на риск услуга, нито пълният път на атаката. Предположенията, включващи Copilot или други компоненти, са спекулации.
Администраторите трябва да проверят инсталираната версия на Paint, вместо да се доверяват само на съобщението „актуално“. Neowin препоръчва да се следва текущият бюлетин на Microsoft и да се обмисли временно премахване на Paint там, където приложението е ненужно. Ограничаването на ненадеждни изображения може да намали общия риск, но не е потвърдена корекция за сигурност за този конкретен мрежов път на атака.
Отделният материал на Cybersecurity News за уязвимостите при PNG файловете предоставя свързан контекст относно сигурността на софтуера за изображения. Тези пропуски са отделни от настоящата уязвимост в Paint.