Microsoft випустила виправлення для вразливості CVE-2026-83844 у стандартному графічному редакторі Paint, яка може дозволити зловмисникам виконувати шкідливий код на комп’ютері. Спочатку проблему оцінили у 8,1 бала за шкалою CVSS і попереджали про можливість віддаленої атаки без авторизації та участі користувача, однак згодом компанія уточнила умови експлуатації.
Проблема отримала ідентифікатор CVE-2026-83844 і належить до категорії CWE-125, відомої як Out-of-bounds Read. Вона виникає, коли програма намагається прочитати дані за межами виділеної області пам’яті. Через таку помилку можуть розкриватися конфіденційні відомості, а за певних умов зловмисник здатен домогтися виконання власного коду.
Спочатку Microsoft оцінила небезпеку вразливості у 8,1 бала за шкалою CVSS 3.1. У першому описі йшлося про можливість віддаленого виконання коду через спеціально сформований мережевий пакет. Для цього нібито не потрібно було отримувати облікові дані, проходити автентифікацію або змушувати користувача натискати на підозрілі посилання.
Водночас компанія класифікувала проблему як важливу та зазначала, що її експлуатація малоймовірна. Причина полягала у високій складності атаки, яка вимагала детального розуміння роботи цільової системи. Потенційні наслідки оцінювалися як серйозні, зокрема порушення конфіденційності даних, їхньої цілісності та доступності.
Після публікації початкового опису компанія переглянула технічні характеристики CVE-2026-83844. Згідно з оновленими даними OpenCVE, 7 листопада Microsoft змінила оцінку вразливості з 8,1 до 7,0 бала за CVSS 3.1.
Головна зміна стосується способу експлуатації. Якщо раніше вразливість описували як віддалену атаку без участі користувача, то тепер у записі зазначено локальний вектор атаки та необхідність взаємодії з боку користувача. Висока складність експлуатації при цьому залишилася незмінною.
Попри перегляд оцінки, вразливість досі належить до категорії високої небезпеки. Успішна атака може призвести до компрометації даних, їхньої зміни або порушення нормальної роботи системи.
Microsoft не повідомляла про підтверджені випадки використання саме цієї вразливості у реальних атаках. За наявними даними, її експлуатація залишається малоймовірною, хоча це не скасовує потенційних наслідків для вразливих комп’ютерів.
Microsoft Paint has a security vulnerability that could let hackers run malicious code on your PC over a network.
The flaw, tracked as CVE-2026-83844, is rated 8.1 (High) and could allow attackers to execute code over a network without permission.
Microsoft has published a… pic.twitter.com/q1WiiFFbxD
— Pirat_Nation 🔴 (@Pirat_Nation) November 5, 2026
Для усунення проблеми Microsoft випустила оновлення графічного редактора Paint. Відповідно до офіційного повідомлення Microsoft Security Response Center, виправлення міститься у версії 11.2609.401.0. Вразливими вважаються попередні версії програми, починаючи з 11.0.0.0.
Компанія рекомендує перевірити безпосередньо версію встановленого Paint, а не покладатися лише на факт оновлення Windows. Це важливо, оскільки оновлення операційної системи саме по собі не гарантує, що графічний редактор уже отримав необхідне виправлення. Відповідну версію можна перевірити в налаштуваннях Paint, а за потреби оновити програму через Microsoft Store.
Про існування вразливості Microsoft повідомив анонімний дослідник безпеки через офіційний канал розкриття інформації. Його особу та додаткові подробиці виявлення проблеми компанія не розголошує.
Випадок із Paint вкотре показує, що навіть прості стандартні програми Windows можуть містити серйозні помилки безпеки. Користувачам варто перевірити встановлену версію редактора та переконатися, що виправлення вже застосоване.
