微软已修复 Windows 11 画图中的一个远程代码执行漏洞，但该修复不会通过 Windows Update 下发。CVE-2026-83844 属于越界读取漏洞（CWE-125），被评为 Important 级别，CVSS 评分为 8.1，只有画图 11.2609.401.0 版本能够修复，且仅通过 Microsoft Store 分发。
问题很实际：在 Windows 11 中，画图是一款 Store 应用，其更新与操作系统走不同的渠道。每月累积更新会修补 Windows 本身，但不会触及画图。因此，即使一台电脑通过 Windows Update 已完全更新，也可能仍在运行存在漏洞的画图应用，而用户毫不知情。
修复版本号中途发生了变化
微软于 2026 年 10 月 13 日披露了该漏洞。当时公告称 11.2605.91.0 为修复版本，但该版本从未出现在公开的 Store 目录中。研究人员在 11 月初查询目录时发现，最新版本仍是 11.2605.81.0，并不包含修复。
11 月 6 日，微软修订了公告，改称 11.2609.401.0 为修复版本。The Hacker News 确认，当天在其核查的十个国家中，该版本均为 Store 中的最新版本。然而，公开的 CVE 记录和 NVD 条目仍将受影响范围列为低于 11.2605.91.0 的版本，这可能导致扫描器把仍存在漏洞的机器误判为已修复。实用的判断标准很简单：任何低于 11.2609.401.0 的版本都应视为存在漏洞。
如何检查与修复
更新方法是打开 Microsoft Store，进入“库”并选择“获取更新”，或依靠 Store 的自动更新。在终端中可运行 winget upgrade --id 9PCFS5B6T72H --source msstore。之后请确认已安装版本为 11.2609.401.0 或更高。
画图会为电脑上的每个用户账户单独安装，Windows 还可能保留一份预配副本，供每个新用户安装。因此值得检查所有副本，而不仅是当前账户的副本——例如以管理员身份在 PowerShell 中运行：Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version。
关于利用情况的已知信息
根据微软的公告，攻击者可通过网络向受影响的服务发送特制数据包来利用该漏洞，无需登录，也无需用户交互，但攻击需要对目标系统有深入了解。该漏洞在 10 月 13 日公布时未被发现遭到利用，也未被公开披露；在 11 月 6 日的核查中，它也不在美国网络安全与基础设施安全局（CISA）的已知可利用漏洞（KEV）目录中。微软未提供变通方案或缓解措施：更新是唯一的防御手段。Windows 10 的经典版画图不在受影响范围内，只有 Windows 11 上的 Store 应用受到影响。
该警告也在 X 上传播：11 月 7 日，币安联合创始人赵长鹏（CZ）转发了一则关于该漏洞的提醒，称应用软件无法保护用户免受操作系统漏洞的影响，并敦促立即更新。漏洞本身由微软公告与 The Hacker News 的报道确认；CZ 的帖文属于声明，并非关于该漏洞的技术来源。
另见 Geekiki：CVE-2026-19868：SonicWall 漏洞可绕过 SSL-VPN 多因素认证，且已被利用
图片来源：The Hacker News 关于 CVE-2026-83844 原创报道的插图。图片：The Hacker News。
来源
- The Hacker News——Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It
- Weex——Binance Founder Changpeng Zhao Shares Warning on Windows Paint Vulnerability CVE-2026-83844
透明声明：本文在人工智能的协助下完成，并交叉核对了 X 上的公开帖文与网络来源。建议查阅下方列出的原始来源以确认细节。
Muse
