- 发布日期
Windows 11画图工具曝出高危“零点击”漏洞 开启自动更新也可能尚未安装安全补丁
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
微软Windows 11自带的画图工具（Microsoft Paint）近日被曝存在一项严重安全漏洞，攻击者无需用户点击任何文件或链接，即可能远程执行恶意代码。微软已于2026年10月13日正式披露该漏洞，编号为CVE-2026-83844，严重程度评分为8.1分（满分10分），被列为“重要”级别。然而，部分已开启Microsoft Store自动更新的用户仍未获得修复补丁。
根据微软公布的安全公告，该漏洞属于越界读取（Out-of-bounds Read）问题，即程序尝试读取超出预定内存区域的数据。在特定情况下，攻击者可利用该缺陷实现远程代码执行，在受影响计算机上运行自行编写的代码。由于无需用户交互，媒体将其称为“零点击”漏洞。
微软描述的攻击方式是，未经身份验证的攻击者可通过网络向受影响服务发送经过特殊构造的数据包以触发漏洞。不过微软同时指出，该漏洞实际利用存在一定难度。截至Windows Latest报道发布时，尚未发现该漏洞已在现实攻击活动中被利用的报告。
真正令人担忧的是补丁分发环节出现异常。微软在披露漏洞的同时已通过Microsoft Store推送修复版本，按其支持文档，画图工具需升级至11.2609.401.0或更高版本才算完成修复。但Windows Latest编辑在开启自动更新的情况下检查系统，发现已安装版本仍为11.2603.251.0，明显低于安全版本要求。
类似情况并非个例。报道指出，其他用户也在当天反映无法通过Microsoft Store获取画图工具更新，一些IT管理员尝试使用第三方工具下载MSIX安装包，同样没有找到微软所称的修复版本。
目前尚不清楚问题根源。一种可能是Microsoft Store的更新分发机制出现故障，导致修复版本未能正常显示；另一种可能是微软安全公告中标注的修复版本号存在错误，甚至记录了一个尚未向用户提供的版本。此外，Paint属于通过Microsoft Store独立维护的应用，安装Windows系统安全更新并不意味着该漏洞会自动修复。
用户可通过Windows PowerShell执行“Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version”命令确认实际版本。若显示11.2609.401.0或更高版本，则表明已安装补丁；低于该版本仍被视为存在漏洞。即便商店只提供较低版本，用户仍应安装能够获取到的最新版本。
此次事件再次暴露出Windows应用更新体系的现实问题：操作系统保持最新，并不意味着所有内置应用都已完成安全更新。画图工具虽为基础应用，仍可能成为攻击入口。在微软澄清版本号与分发问题前，不能仅凭商店显示无可用更新就判断系统安全。
