В Paint для Windows 11 обнаружили уязвимость CVE-2026-83844, которая позволяет злоумышленникам удалённо запускать вредоносный код. Информация об угрозе была опубликована на сайте Microsoft 13 октября. Несмотря на обещанное исправление, пользователи не могут установить патч.
Проблема в Paint связана с ошибкой чтения данных за пределами выделенной области памяти. Согласно оценке Microsoft, серьёзность уязвимости составляет 8,1 балла из 10. Для атаки злоумышленнику не требуются учётная запись или действия пользователя: достаточно отправить специальный сетевой пакет уязвимой службе. При этом Microsoft рассматривает вероятность взлома как невысокую, и на момент публикации от компании не было зафиксировано случаев атаки хакерами.
Разработчики также пообещали выпустить обновление 11.2609.401.0 с исправлением уязвимости. Однако в ноябре при проверке издание Windows Latest обнаружило сборку 11.2603.251.0, а Microsoft Store не предлагал доступных обновлений. Скачать рекомендуемую версию не было возможности. Аналогичную проблему заметили и другие пользователи, которые не смогли получить обновление даже с помощью сторонних инструментов.
Причина, по которой исправленная версия не появляется у части пользователей, неизвестна. В издании считают, что это может быть ошибка магазина или неточность в документации Microsoft относительно необходимой версии приложения. Уязвимость в версии для Windows 10, которая не содержит ИИ-функции, не замечена.