У Paint серйозна вразливість, і Windows Update її не виправить

Більшість людей поставили б Paint у самий кінець списку ризикованих програм. Microsoft так не вважає. 13 жовтня компанія опублікувала CVE-2026-83844, читання за межами буфера в Paint, яке може дозволити зловмиснику виконати код на комп'ютері через мережу, без входу в систему і без жодної участі користувача. Оцінка становить 8,1 з 10. Microsoft каже, що не бачила використання вразливості, а для успішної атаки потрібне глибоке знання цільової системи, тож це не пожежна тривога. Незручно інше: те, як до вас доходить виправлення.

Paint є застосунком Microsoft Store, тому жовтневі оновлення Patch Tuesday його не торкнулися. Спершу в бюлетені виправленою називали версію Paint 11.2605.91.0, але адміністратори помітили, що Store досі роздавав 11.2605.81.0, у якій виправлення немає. Згодом Microsoft змінила бюлетень і тепер вказує 11.2609.401.0, не пояснюючи причин, тоді як офіційний запис CVE і далі містить старий номер. The Hacker News 6 листопада повідомив, що 11.2609.401.0 тепер найновіша версія в усіх десяти перевірених країнах, а один тестовий комп'ютер отримав її через автоматичні оновлення Store. Як швидко вона дійде до всіх інших, невідомо.

Тож не вірте повідомленню, що все оновлено, перевірте самі. Відкрийте Параметри, потім Програми, потім Інстальовані програми, натисніть три крапки біля Paint і виберіть Додаткові параметри, щоб побачити версію. Якщо вона нижча за 11.2609.401.0, відкрийте Microsoft Store, перейдіть до Бібліотеки й натисніть Отримати оновлення. Якщо вдома ніхто не користується Paint, видалити його з того самого екрана теж цілком розумно.

Застосунки зі Store легко пропустити, тому перевірка оновлень програм у Tendvane, побудована на winget, показує застарілі програми поруч з оновленнями Windows, які ви вже бачите.