// AI 威脅新聞台 · 2026年11月15日
首頁/CVE · 漏洞修補
漏洞修補高CVECVSS 8.1 at publication; 7.0 after November 7

Paint修補程式上架商店非Windows Update

The Hacker News報道，Microsoft已在商店提供Paint版本11.2609.401.0，修補一項可被遠程執行程式碼的漏洞。getrff.com於11月4日發表報告。

· 閱讀 2 分鐘
AI 生成圖像，非事件現場相片
AI 生成圖像，非事件現場相片。
重點
  • The Hacker News表示，CVE-2026-83844是Windows Paint越界讀取漏洞，可能讓攻擊者經網絡遠程執行程式碼。
  • The Hacker News表示，修補後的Paint版本為11.2609.401.0，透過Microsoft Store而非Windows Update提供。
  • Microsoft表示，於10月13日公布該問題時，尚未知悉漏洞已遭利用或公開披露。

Microsoft已透過Microsoft Store提供修補後的Windows Paint版本，以修復CVE-2026-83844。getrff.com於11月4日報道。The Hacker News表示，修補程式透過商店更新提供，而非Windows Update。

The Hacker News表示，該漏洞屬越界讀取，可能讓攻擊者經網絡執行程式碼。Microsoft的公告表示，利用漏洞可能涉及「向網絡上的受影響服務發送一個特製封包」，毋須登入或用戶協助。

Microsoft將漏洞評為重要，並在公布時為其評定CVSS分數8.1。Microsoft表示，於10月13日公布該問題時，尚未知悉漏洞已遭利用或公開披露。

本文目錄

Paint版本11.2609.401.0取代較早商店套件

Brian Vitko發現，11月5日商店在美國、英國、德國、澳洲、印度及新加坡提供Paint版本11.2605.81.0。同一項目錄查詢於11月6日為美國、英國及德國返回版本11.2609.401.0。

The Hacker News表示，版本11.2609.401.0是其查核的10個國家中最新的Paint版本。Windows Report表示，Windows 11用戶報告無法在商店找到修補後版本。

Microsoft於11月7日將CVSS分數改為7.0

Microsoft於11月7日將CVSS分數由8.1改為7.0，並列明攻擊途徑為本機及需要用戶互動。Microsoft稱這項改動「僅屬資訊性改動」。

公開記錄列出不同受影響版本詳情

公開CVE記錄仍僅列明低於11.2605.91.0的Paint版本受影響，該版本為Microsoft在公布時指明的版本，而Microsoft的保安資料則列出11.2609.401.0。NVD暫無版本資料，其項目仍為「正在分析」。

Security.nl表示，更新於10月13日出現，但管理員在Reddit投訴下載修補程式困難後，才引起關注。

商店目錄顯示，11月6日美國、英國及德國的Paint版本為11.2609.401.0，此前11月5日曾在6個國家列出版本11.2605.81.0。

公開來源的版本資料仍不一致。公開CVE記錄列明，低於11.2605.91.0的Paint版本受影響；Microsoft的保安資料則列出11.2609.401.0，而NVD沒有受影響版本配置，並將其項目標記為「正在分析」。

常見問題

什麼是CVE-2026-83844？

The Hacker News表示，這是Windows Paint的越界讀取漏洞，可能讓攻擊者經網絡執行程式碼。

哪個Paint版本修復CVE-2026-83844？

The Hacker News表示，修補後版本為Paint 11.2609.401.0。Microsoft修訂後的公告指示用戶更新至該版本，或確認自動更新已安裝該版本。

Windows Update會提供Paint修補程式嗎？

不會。The Hacker News表示，修補程式透過Microsoft Store更新提供，而非Windows Update。

CVE-2026-83844是否已遭利用？

Microsoft表示，於10月13日公布該問題時，尚未知悉漏洞已遭利用或公開披露。

Paint漏洞是否可在無需登入或點擊的情況下遭利用？

Microsoft表示，攻擊毋須登入或用戶協助。其公告描述向網絡上的受影響服務發送特製封包。

來源

  1. Windows Paint CVE-2026-83844: the fixed build is in the Microsoft Store now. Check your fleet, Brian Vitko原始文件
  2. Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It, The Hacker News
  3. Microsoft Paint Security Flaw Could Let Hackers Execute Malicious Code, but the Fix Is Hard to Find, Windows Report
  4. Microsoft Paint flaw lets hackers take control remotely, Cybernews
  5. Microsoft publiceert wegens RCE-lek nieuwe versie Windows Paint, security.nl
我們如何核實這篇報道
內容來源狀態
The Hacker News表示，cVE-2026-83844是Windows Paint的遠程執行程式碼漏洞。The Hacker News引述
The Hacker News表示，Paint修補程式透過Microsoft Store更新提供，而非Windows Update。The Hacker News引述
The Hacker News表示，修補後的Paint版本為11.2609.401.0。The Hacker News引述
Microsoft在公布時將漏洞評為重要，並為其評定CVSS分數8.1。Microsoft, via The Hacker News引述
Microsoft於11月7日將CVSS分數由8.1改為7.0，並形容改動屬資訊性質。Microsoft引述
Microsoft公布漏洞時，尚未知悉漏洞已遭利用或公開披露。Microsoft, via The Hacker News引述
The Hacker News表示，該漏洞屬越界讀取，可能讓攻擊者經網絡執行程式碼。The Hacker News引述
Microsoft的公告表示，攻擊者可向網絡上的受影響服務發送特製封包以利用漏洞。Microsoft, via The Hacker News引述
Microsoft表示，根據公告，攻擊毋須登入及用戶協助。Microsoft, via The Hacker News引述
Windows 11用戶報告無法在Microsoft Store找到修補後的Paint版本。Windows Report引述
Cybernews報道，漏洞可在無需點擊或登入的情況下進行遠程執行程式碼。Cybernews引述
security.nl表示，更新於10月13日出現，但管理員在本周於Reddit投訴下載修補程式困難後引起關注。security.nl引述
Microsoft修訂後的公告指示用戶將Paint更新至版本11.2609.401.0，或確認自動更新已安裝該版本。Microsoft引述
Brian Vitko發現，11月5日商店在6個國家提供Paint版本11.2605.81.0。Brian Vitko已證實
商店目錄於11月6日為美國、英國及德國返回Paint版本11.2609.401.0。Brian Vitko已證實
CVE記錄最初列明低於11.2605.91.0的Paint版本受影響，而Microsoft的保安資料列出11.2609.401.0。Brian Vitko已證實
NVD沒有受影響版本配置，並將其項目標記為正在分析。Brian Vitko已證實
getrff.com於2026年11月4日發表報告。getrff.com已證實

未能核實

  • 漏洞是否已在實際環境中遭利用，尚未確定。
  • 有多少Windows系統或Paint安裝受影響，尚未確定。
  • 網絡封包描述與特製圖片描述是否指向同一觸發方式，尚未確定。
  • CVE-2026-83844是否另有最終權威CVSS向量，尚未確定。
cvemicrosoft
查看全部 漏洞修補 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok