Windows 11 смогли взломать через Paint — как проверить свой компьютер?
CVE-2026-83844. Оценка 8.1 по CVSS. Ноль кликов, ноль авторизаций, чистый RCE через out-of-bounds read в стандартном графическом редакторе.
Редакторе, который Microsoft якобы починила еще 13 октября, выпустив сборку 11.2609.401.0. Реальность оказалась прозаичнее корпоративных бюллетеней: механизм доставки обновлений через Microsoft Store банально буксует, оставляя пользователей на уязвимых версиях вроде 11.2603.251.0 или 11.2605.81.0 даже при включенном автоматическом апдейте. Сетевой пакет специальной формации достигает уязвимого компонента, и код выполняется без малейшего участия владельца машины. При этом корпоративные EDR-решения бьют тревогу на полностью пропатченных по Windows Update системах, потому что Paint обновляется отдельно, изолированно от ядра ОС. Документация первоначально указывала сборку 11.2605.91.0 как исправленную, затем цифры поменялись, а внятного объяснения этому хаосу в нумерации редмондцы так и не дали. Эксплуатация требует специфической конфигурации, что пока сдерживает волну реальных инцидентов, но сам факт наличия дыры в базовом софте, который не должен иметь сетевых амбиций, выглядит как откровенное издевательство.
Издевательство, которое особенно ярко проявляется на фоне интеграции Copilot. Именно нейросетевые функции в новой версии и стали триггером этой фатальной ошибки чтения памяти.
Памяти, кстати, это касается только современных инстансов. Windows 10 остается в стороне, поскольку локальный Paint там лишен ИИ-наворотов, и уязвимый код физически отсутствует в бинарниках.
Бинарниках, версию которых можно проверить тривиальной командой в PowerShell: Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version. Если на выходе не 11.2609.401.0 или выше, система скомпрометирована по умолчанию. Ручной поиск в Store часто возвращает пустой результат, а ожидание исправления доставки обновлений может затянуться.
Затянуться. Именно так можно описать реакцию вендора на критические сбои собственного магазина приложений.
Приложений, которые теперь приходится сносить превентивно. Единственный рабочий вектор защиты — удаление компонента через "Установленные приложения". Да, удалять системный инструмент ради безопасности — абсурд, но альтернатива в виде пассивного ожидания выглядит еще хуже.
Хуже того, 5 ноября патч заметили лишь в каталоге Store для нескольких изолированных регионов. Глобального релиза исправленной сборки до сих пор нет.
Никита Карпов
Главный редакторПишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.