微软【画图】零点击漏洞可能允许黑客控制 Windows PC

亮哥亮哥
亮哥亮哥

信安社群

2026年11月6日 17:30
广东

去阅读

请点击上方蓝色的【#公众号信安社群#】微信公众号一键关注！

微软 Windows 画图漏洞 CVE-2026-83844，可能允许未经身份验证的攻击者在无需用户交互的情况下通过网络执行代码。

该漏洞的 CVSS 评分为 8.1，属于高严重性类别而非严重类别。然而，对修正后的画图版本存在混淆，使 Windows 管理员进行补丁检查变得复杂。

该漏洞源于越界读取，即软件读取超出其预定边界的一种内存错误。

微软于 2026 年 10 月 13 日发布了该公告。其评估列出了网络攻击向量、无需所需权限以及高攻击复杂性，这意味着成功利用取决于使攻击更难实施的条件。

对于管理员来说，立即的担忧不仅仅是是否存在更新，而是修复的应用版本是否真的到达了受管理的设备。

微软最初将 Paint 版本 11.2605.91.0 列为修复版本。管理员报告称，即使更新检查和商店缓存重置后，Microsoft Store 仍然提供 11.2605.81.0 版本。

微软的公告将 11.2609.401.0 列为修复版本，暗示之前的版本引用可能不正确。微软尚未确认这一解释。

更新可用性似乎也不一致。一些管理员报告说难以获取修正后的版本，而 Reddit 讨论区的一名参与者称更新已通过 Microsoft Store 提供。

这些个别报告并不能确定普遍的部署状态。关于可用性取决于地区的说法也尚未得到证实。

一个精心构造的图像可能触发该漏洞，但微软引用的指导描述的是发送到受影响服务的精心构造的网络数据包。

Hacker News 的讨论指出了缺失的细节：既没有识别出暴露的服务，也没有完整的攻击路径。涉及 Copilot 或其他组件的建议只是猜测。

管理员应该检查安装的 Paint 版本，而不是单独依赖“已更新”的消息。

Neowin 建议遵循微软当前的公告，并在 Paint 不必要时考虑临时移除。

限制不受信任的图像可能会减少总体暴露，但这并不是针对此特定网络攻击路径的确认修复方法。

网络安全新闻对 PNG 漏洞的报道提供了有关图像软件安全的相关背景。这些缺陷与此次 Paint 漏洞无关。