微軟安全應急響應中心（MSRC）修訂了安全通報。2.0版本已發佈。Windows 11預裝的微軟畫圖（Microsoft Paint）遠程代碼執行漏洞，修復版本提升至11.2609.401.0。該漏洞編號爲CVE-2026-83844。它屬於越界讀取缺陷（CWE-125）。CVSS 3.1基礎評分達到8.1。時間評分降至7.1。微軟官方定級爲“重要”（Important）。
最初公告指定的修復版本，微軟應用商店從未實際向公衆推送。全球企業網絡管理人員與個人用戶因此陷入掃描誤報與防護真空。微軟此次重新指定版本，意在解決該漏洞帶來的安全風險。
首發補丁缺席與版本混亂引發運維困境
這起安全事件始於2026年10月13日。微軟在當日的例行安全更新中披露了CVE-2026-83844。安全更新指南以及CVE官方記錄註明，受影響版本爲11.0.0.0至低於11.2605.91.0。11.2605.91.0爲安全修復版本。
實際分發過程中，多國管理員發現微軟應用商店（Microsoft Store）提供的最新版本僅停留在11.2605.81.0或更早的11.2603.251.0。所謂的11.2605.91.0版本從未在商店公共目錄中出現。
設備管理軟件研發機構RFF的研究人員布萊恩·維特科（Brian Vitko）本週早些時候針對6個國家的應用商店進行抽查。他確認各區域商店推送的最新版本均爲未修復的11.2605.81.0。各大企業漏洞掃描工具直接讀取CVE與NVD數據庫中的11.2605.91.0閾值。這些工具開始在企業網絡內大面積拉響安全警報。IT管理員卻無法通過常規途徑獲取官方宣稱的補丁包。
網絡討論持續發酵。微軟在11月悄然修改了安全更新指南中的修復版本號。11月6日，微軟正式更新CVE記錄與通報修訂歷史，發佈2.0版本。通報明確聲明發布11.2609.401.0版本，以徹底解決該漏洞。
零交互網絡觸發機制與端點防護盲區
根據MSRC官方諮詢通報與常見問題解答說明，未授權的攻擊者能夠通過網絡向受影響的服務發送特製數據包。攻擊者藉此在目標系統上實現任意代碼執行。整個攻擊過程不需要身份憑據。也不需要本地用戶的交互協助。
在CVSS 3.1向量評估中，攻擊途徑被標記爲網絡（AV:N）。所需權限爲無（PR:N）。用戶交互爲無（UI:N）。對機密性、完整性及可用性的影響均達到高（High）。微軟將攻擊複雜度定爲高（AC:H）。微軟指出，成功攻擊需要對目標系統有深入的瞭解。在野利用的可能性較低。該缺陷未列入CISA已知被利用漏洞目錄。FIRST給出的EPSS概率評分爲0.73%。目前尚未發現公開披露的利用代碼或在野攻擊活動。
安全研究機構分析指出，Windows 11中的畫圖程序（產品ID爲9PCFS5B6T72H，要求內部版本22000或更高）作爲現代Store應用程序獨立運作。它並不依賴常規的Windows Update累積更新管道進行代碼維護。企業客戶端即使安裝了包含上千項安全修復的最新Windows 11累積更新，只要應用商店的自動更新策略被企業組策略禁用，畫圖程序仍將無限期停留在脆弱版本上。
Store應用程序按每個用戶配置文件分別安裝。同一臺PC上的不同用戶甚至系統預配映像都可能保留不同版本。這給傳統集中式補丁管理帶來了顯著的防護盲區。
驗證與排查指南確保終端合規
微軟在11月5日與6日完成全球分發渠道同步。專業媒體在10個國家和地區進行了實測核驗。核驗確認，微軟應用商店目錄中最新上架的畫圖版本已統一變更爲11.2609.401.0。網絡安全專家強烈建議系統管理員立即審查內網終端。管理員應停止依賴操作系統的常規更新狀態，轉而通過專用命令進行精確排查。
對於管理員而言，可通過具備管理員權限的PowerShell命令，針對所有用戶賬戶及系統預配包展開版本篩查。執行Get-AppxPackage命令列出所有用戶的Microsoft.Paint版本。配合Get-AppxProvisionedPackage命令核查新用戶初始包。若發現終端版本低於11.2609.401.0，應及時在商店中觸發更新。也可利用winget命令行工具指定產品ID 9PCFS5B6T72H執行靜默升級。
運維人員亦可關注Windows應用程序日誌中的事件1000。排查是否存在訪問衝突代碼0xc0000005等異常崩潰。在無法保障商店更新的受限環境或無人值守服務器中，安全機構建議直接徹底卸載畫圖組件。此舉可杜絕潛在的攻擊面暴露。
