一款从 Windows 1.0 起就是纯本地工具的内置画图程序，拿到了远程执行漏洞。2026 年 10 月 13 日，微软正式披露 CVE-2026-83844，归类为 CWE-125 越界读。官方宣称攻击者可远程发送特制数据包，无需权限即可执行代码。这一结论迅速引发了企业安全团队的排查。
调取补丁清单时，更深层的工程断层浮出水面。微软自己的两个权威渠道给出了冲突的版本号。常规累积更新并不包含画图组件。合规扫描器输出全绿报表的同时，大量设备依旧停留在未修补的危险版本上。
越界读拿到8.1高分，漏洞细节却对不上账
在 CVSS 3.1 评分标准下，CVE-2026-83844 拿到了 8.1 的高危基础分。网络向量、零权限、零交互，三项指标全部拉满。但在微软自身的分级体系中，该漏洞仅为 Important 级别。评级比最高的 Critical 矮了一截。
分歧的关键落在攻击复杂度这一项。指标标记为 High，说明实战利用的前置条件很难凑齐。越界读通常只造成内存信息泄露，要走到代码执行，还得额外绕开内存随机化这类缓解措施。
公开渠道的技术还原陷入了自相矛盾。多份行业分析将矛头指向特制图片文件的解析缺陷。SentinelOne 漏洞库同样认定是图像解码边界校验不当。MSRC 官方公告却未提图片，只记录了攻击者向服务发送特制数据包。
图：Windows 11 画图程序与安全补丁机制。来源：Cybernews
两派说法至今没有一份拿出利用链验证。画图程序默认并未向公网开放监听端口。网络数据包究竟如何进入解码引擎，官方并未公布细节。信息缺失让边界防护策略失去了明确的拦截目标。
官方记录两张嘴，修复版本凭空跳号
官方版本管理上的数字打架，更让运维团队棘手。10 月 13 日补丁日当天，微软安全更新指南列出修复版本为 11.2605.91.0。官方 CVE 记录同步采纳了这一门槛。受影响范围据此锁定在 11.0.0.0 至 11.2605.91.0 之前。
到了 10 月 30 日，微软问答社区涌现大量质询。运维人员翻遍所有分发渠道，均找不到 11.2605.91.0 版本。应用商店推送的最新版本长期停在 11.2605.81.0。资产清点工作因此陷入停滞。
面对渠道缺货的质问，微软在 11 月 2 日修改了数据。MSRC 发布的十月 CVRF 机器可读文档中，修复版本被改为 11.2609.401.0。旧版阈值被直接抹去。官方数据源之间由此形成了无法弥合的版本断层。
多方实测表明新版本依旧大面积缺席。科技媒体 Windows Latest 抽检了开启自动更新的系统，画图程序停滞在 11.2603.251.0。管理员通过工具解包应用商店后台，同样无法索取新版安装包。补丁分发与官方声明脱节。
应用商店接管核心工具，累积更新全数打偏
这场混乱源于 Windows 核心组件分发机制的转向。在传统架构中，画图作为系统附件随系统镜像发布。其修复补丁与每月的累积更新强绑定。推送统一的 KB 补丁包即可确认修复状态。
微软在 Windows 11 中将大量收件箱工具转为 MSIX 应用。记事本、截图工具和画图脱离了底层系统镜像。这些基础工具被移交至微软应用商店独立托管。它们变成了依赖外围 CDN 轮询分发的独立软件。
应用商店提示的「已是最新」缺乏凭据价值。为了平衡服务器载荷，应用商店普遍采用灰度推送与地域限制策略。同一批次采购的企业电脑，版本可能相差数个月。分发节奏呈现出高度的不确定性。
企业审计机制在这种分发逻辑前遭遇盲区。主流 WSUS 与 Intune 策略只覆盖累积更新，无法穿透到底层 AppX 服务。IT 管理员确认 KB 覆盖率达到 100% 时，画图程序的防护缺口依然存在。静态合规与实际防御脱节。
PowerShell 才能给出确定答案，合规清单只剩虚标数字
由于图形界面无法提供准确信息，现场终端必须转入脚本核验。系统管理员需要绕过商店前端，通过原生命令调取底层包状态。命令行直接读取本地 AppX 清单，提供了唯一的确定性证据。
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version命令执行后的数字分布，直接瓦解了合规报表的可靠性。版本低于 11.2605.91.0 的终端，在两套官方基准下都属于未修复资产。大量企业机器长期停留在 11.2603.251.0 或 11.2605.81.0。这些资产正在被动承受未知的风险敞口。
图：通过 PowerShell 查询画图应用的实际包版本。来源：Windows Latest
两套标准之间的灰色区间带来了更大困扰。11.2605.91.0 至 11.2609.401.0 之间的版本只符合旧版门槛。读取 cve.org 数据的扫描器会将其标记为安全。但在 MSRC 最新文档中，这些设备依然缺乏确认修复的依据。
依赖上游数据库的漏扫工具给出了失真结论。扫描器默认官方文档是统一的事实来源，却未曾预料到数据分歧。依赖元数据匹配的审计流程，将存在隐患的机器判定为合规资产。这种假象比漏洞本身更具欺骗性。
斩断不可信附件，无界面终端直接卸载
面对分发脱节与细节成谜的双重挑战，微软并未提供官方缓解方案。缺乏明确的端口与流量特征，网络防火墙无法实施定向阻断。企业安全团队不得不转入基于资产收敛的被动防御。
控制不可信文件的输入链路是第一道防线。邮件网关需要强化对外部图片附件的格式校验与沙箱检测。阻断未知文件的投递路径，能有效削减潜在的触发机会。纵深防护在细节未知时显得尤为关键。
对于生产环境中的专用终端，直接剥离无用组件是更高效的选择。在带桌面体验的 Windows Server、自助终端以及跳板机上，画图程序并无业务价值。运维人员通过 PowerShell 移除该包，能直接消除该暴露面。
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Remove-AppxPackage -AllUsersCVE-2026-83844 揭示了系统组件商店化带来的治理断层。自带工具脱离累积更新管辖，外围分发瓦解了安全防护网。官方记录彼此冲突，交付渠道更新滞后，合规结论难以作为凭证。在交付重获确定性之前，本地核验依然是唯一选择。
参考链接：
- CVE-2026-83844 官方记录
- MSRC 安全更新指南
- Windows Latest 调查报道
- SentinelOne 漏洞分析报告
