ИИтог

Microsoft опубликовала CVE-2026-83844: удалённое выполнение кода в Paint

безопасностьРедакция ИИтогHacker News🔥64Рейтинг ИИтог64Влияние45Новизна40Релевантность70Неожиданность45Участники40Достоверность60

В базе CVE опубликована запись CVE-2026-83844 с названием «Windows Paint Remote Code Execution Vulnerability» (уязвимость удалённого выполнения кода в Windows Paint). Идентификатор присвоила Microsoft (MSRC). Запись опубликована 13 октября 2026 года, последнее обновление, 31 октября 2026 года.

Суть уязвимости, по описанию в записи: чтение за границами буфера (out-of-bounds read) в Windows Paint позволяет неавторизованному атакующему выполнить код по сети. Слабость классифицирована как CWE-125 (Out-of-bounds Read).

Затронуты версии Microsoft Paint от 11.0.0.0 до 11.2605.91.0, не включая её; версия 11.2605.91.0, первая, которая в запись не попала.

Оценка по CVSS 3.1, 8,1 (высокая), вектор AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Он означает сетевой вектор атаки, высокую сложность, отсутствие требуемых привилегий и взаимодействия с пользователем, неизменную область действия и высокое воздействие на конфиденциальность, целостность и доступность.

В записи есть и оценка CISA по методике SSVC (запись добавлена как ADP): эксплуатация, none (не наблюдается), автоматизируемость, no (нет), технический ущерб, total (полный). В качестве ссылки указана запись в руководстве по обновлениям MSRC для CVE-2026-83844.

Страница cve.org сама по себе, оболочка на JavaScript, поэтому детали взяты из пересказа ответа API записи, а не из сырой копии.

Ключевые факты

  • CVE-2026-83844: чтение за границами буфера (CWE-125) в Windows Paint позволяет неавторизованному атакующему выполнить код по сети.
  • CVSS 3.1, 8,1 (высокая), вектор AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
  • Затронуты версии Microsoft Paint от 11.0.0.0 до 11.2605.91.0, не включая её.
  • Оценка CISA по SSVC: эксплуатация, none, автоматизируемость, no, технический ущерб, total.
  • Запись опубликована 13 октября 2026 года, обновлена 31 октября 2026 года; идентификатор присвоила Microsoft (MSRC).

Почему это важно

Paint, штатное приложение Windows, а уязвимость по описанию позволяет выполнить код по сети без авторизации атакующего. Оценка 8,1 из 10 относится к высокой категории. Смягчающие факторы в самой записи: высокая сложность атаки (AC:H) и отметка CISA «эксплуатация: none». При этом технический ущерб в оценке CISA назван полным (total).

Кому это важно

Прежде всего тем, у кого установлен Microsoft Paint версий от 11.0.0.0 до 11.2605.91.0, не включая её: администраторам Windows-парков и специалистам по безопасности, ведущим учёт уязвимостей. Рядовым пользователям стоит проверить, что приложение обновлено.

Как это применить

Ориентир по версии: затронуты сборки Paint ниже 11.2605.91.0, эта версия первая, не попавшая в список. Сверьте установленную версию Paint с этой границей и ознакомьтесь с записью в руководстве по обновлениям MSRC, на которую ссылается CVE. Пошаговых инструкций по исправлению в записи нет.

Можно ли доверять

Запись выпущена самой Microsoft (MSRC) как держателем идентификатора, оценку SSVC добавила CISA. Оговорка: страница cve.org представляет собой оболочку на JavaScript, поэтому детали получены из пересказа ответа API записи, а не из сырой копии, и в первоисточнике они не сверялись напрямую.

Риски и подводные камни

Условия, при которых атака считается сложной (AC:H), в записи не раскрыты, поэтому оценить реальную достижимость по ней нельзя. Сведений об открытом эксплойте или реальных атаках запись не приводит, кроме отметки SSVC «эксплуатация: none». Оценки CVSS и SSVC могут пересматриваться, запись обновлялась уже после публикации.