微软披露Paint零点击远程代码执行漏洞

微软于2026年10月13日发布通告，披露Windows Paint存在零点击远程代码执行漏洞CVE-2026-83844（CVSS 8.1），成因为越界读取（CWE-125），未认证攻击者可在无用户交互下通过网络执行代码。微软将利用可能性评为“较低”，并称此前无公开披露或已知利用记录。 通告未指明涉及的服务、网络端口或完整攻击链，因此“仅凭恶意图片即可触发”的说法尚未证实。微软评估显示攻击向量为网络、无需权限，但攻击复杂度高。 修复版本存在出入：微软通告的安全更新表列出Paint build 11.2609.401.0，而NIST记录的受影响版本为低于11.2605.91.0。部分管理员反映难以获取更正后的版本，Reddit上有人称更新已可通过Microsoft Store获取，但这些个别反馈不能代表整体推送情况。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。