Newshot Microsoft Paint 的 RCE 修复现已可用，但 Windows Update 不会提供
针对 CVE-2026-83844（Windows Paint 中的一个远程代码执行漏洞）的修复现已进入 Microsoft Store。Paint 仅通过 Store 更新获得此修复，而不是通过 Windows 更新。
修复后的版本 11.2609.401.0 是 The Hacker News 今日检查的所有十个国家/地区中最新的 Paint 版本。
该漏洞是一个越界读取，可能让攻击者通过网络运行代码。微软将其评为“重要”，CVSS 评分为 8.1，并表示成功攻击需要对目标系统有深入理解。在该公司于 10 月 13 日发布时，该漏洞未被已知利用或公开披露。
设备管理软件制造商 RFF 的 Brian Vitko 在本周早些时候检查了 Store 在六个国家/地区提供的 Paint 版本。他发现每个国家/地区中最新的都是 11.2605.81.0，一个没有修复的版本。
他的测试虚拟机此后通过 Store 自动更新自行迁移到了修复版本。那是一台机器，其他 PC 多快能获得该版本尚不清楚。
哪个版本视为已修复
微软的安全公告将 11.2609.401.0 列为修复版本。该公司也发布的该漏洞的 CVE 记录仍然只将低于 11.2605.91.0 的 Paint 列为受影响。其 NVD 条目显示相同的范围。
因此，读取 CVE 记录的扫描器会将从 11.2605.91.0 起的任何版本视为已修复。11.2609.401.0 或更高版本的副本在两个编号下都通过。
根据 Microsoft Q&A 上的一个论坛问题，就在上周，该公告还将 11.2605.91.0 列为修复版本。该公告的修订历史仍然只显示其 10 月 13 日的条目，没有关于该更改的说明。
如何检查每个 Paint 副本
Paint 与其他 Store 应用一样，在 PC 上为每个用户帐户单独安装。Windows 还可以保留一个预配副本，它会为每个新用户安装该副本。仅检查已登录帐户可能会遗漏较旧的副本。
Vitko 的测试报告给出了在管理员身份打开的 PowerShell 窗口中运行的两个命令。第一个列出每个用户的 Paint 副本，第二个列出预配副本。
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
对于任何低于 11.2609.401.0 的副本：
- 通过 Store 更新 Paint，或让 Store 自动更新安装修复版本。在 Intune 和其他设备管理工具中，Store 应用更新扫描可在许多 PC 上执行此操作。
- 再次运行两个命令，并检查每个副本都显示 11.2609.401.0 或更高版本。
该公告未列出任何变通方法或缓解措施。在修复到达 Store 之前，Vitko 建议在没人需要 Paint 的地方将其移除，针对每个用户并从预配副本中移除。他没有测试该步骤。
攻击条件和利用状态
公告称，攻击者可以通过“向网络上的受影响服务发送特制数据包”来利用该漏洞，但未指明该服务。该攻击不需要登录，也不需要用户协助。
当 The Hacker News 今日查看时，该漏洞不在美国网络安全和基础设施安全局运行的已知被利用漏洞目录中。该目录上次更新是在本周早些时候。
像 {{NAME_ab12cd34}} 这样写出的值是真实值的占位符。在回复和工具调用中都完全按原样使用它们：它们会在任何内容运行之前被填入真实值。不要要求验证它们，也不要用示例替换它们。