微软安全应急响应中心（MSRC）修订了安全通报。2.0版本已发布。Windows 11预装的微软画图（Microsoft Paint）远程代码执行漏洞，修复版本提升至11.2609.401.0。该漏洞编号为CVE-2026-83844。它属于越界读取缺陷（CWE-125）。CVSS 3.1基础评分达到8.1。时间评分降至7.1。微软官方定级为“重要”（Important）。
最初公告指定的修复版本，微软应用商店从未实际向公众推送。全球企业网络管理人员与个人用户因此陷入扫描误报与防护真空。微软此次重新指定版本，意在解决该漏洞带来的安全风险。
首发补丁缺席与版本混乱引发运维困境
这起安全事件始于2026年10月13日。微软在当日的例行安全更新中披露了CVE-2026-83844。安全更新指南以及CVE官方记录注明，受影响版本为11.0.0.0至低于11.2605.91.0。11.2605.91.0为安全修复版本。
实际分发过程中，多国管理员发现微软应用商店（Microsoft Store）提供的最新版本仅停留在11.2605.81.0或更早的11.2603.251.0。所谓的11.2605.91.0版本从未在商店公共目录中出现。
设备管理软件研发机构RFF的研究人员布莱恩·维特科（Brian Vitko）本周早些时候针对6个国家的应用商店进行抽查。他确认各区域商店推送的最新版本均为未修复的11.2605.81.0。各大企业漏洞扫描工具直接读取CVE与NVD数据库中的11.2605.91.0阈值。这些工具开始在企业网络内大面积拉响安全警报。IT管理员却无法通过常规途径获取官方宣称的补丁包。
网络讨论持续发酵。微软在11月悄然修改了安全更新指南中的修复版本号。11月6日，微软正式更新CVE记录与通报修订历史，发布2.0版本。通报明确声明发布11.2609.401.0版本，以彻底解决该漏洞。
零交互网络触发机制与端点防护盲区
根据MSRC官方咨询通报与常见问题解答说明，未授权的攻击者能够通过网络向受影响的服务发送特制数据包。攻击者借此在目标系统上实现任意代码执行。整个攻击过程不需要身份凭据。也不需要本地用户的交互协助。
在CVSS 3.1向量评估中，攻击途径被标记为网络（AV:N）。所需权限为无（PR:N）。用户交互为无（UI:N）。对机密性、完整性及可用性的影响均达到高（High）。微软将攻击复杂度定为高（AC:H）。微软指出，成功攻击需要对目标系统有深入的了解。在野利用的可能性较低。该缺陷未列入CISA已知被利用漏洞目录。FIRST给出的EPSS概率评分为0.73%。目前尚未发现公开披露的利用代码或在野攻击活动。
安全研究机构分析指出，Windows 11中的画图程序（产品ID为9PCFS5B6T72H，要求内部版本22000或更高）作为现代Store应用程序独立运作。它并不依赖常规的Windows Update累积更新管道进行代码维护。企业客户端即使安装了包含上千项安全修复的最新Windows 11累积更新，只要应用商店的自动更新策略被企业组策略禁用，画图程序仍将无限期停留在脆弱版本上。
Store应用程序按每个用户配置文件分别安装。同一台PC上的不同用户甚至系统预配映像都可能保留不同版本。这给传统集中式补丁管理带来了显著的防护盲区。
验证与排查指南确保终端合规
微软在11月5日与6日完成全球分发渠道同步。专业媒体在10个国家和地区进行了实测核验。核验确认，微软应用商店目录中最新上架的画图版本已统一变更为11.2609.401.0。网络安全专家强烈建议系统管理员立即审查内网终端。管理员应停止依赖操作系统的常规更新状态，转而通过专用命令进行精确排查。
对于管理员而言，可通过具备管理员权限的PowerShell命令，针对所有用户账户及系统预配包展开版本筛查。执行Get-AppxPackage命令列出所有用户的Microsoft.Paint版本。配合Get-AppxProvisionedPackage命令核查新用户初始包。若发现终端版本低于11.2609.401.0，应及时在商店中触发更新。也可利用winget命令行工具指定产品ID 9PCFS5B6T72H执行静默升级。
运维人员亦可关注Windows应用程序日志中的事件1000。排查是否存在访问冲突代码0xc0000005等异常崩溃。在无法保障商店更新的受限环境或无人值守服务器中，安全机构建议直接彻底卸载画图组件。此举可杜绝潜在的攻击面暴露。
