Windows 自带画图（Microsoft Paint）的远程代码执行漏洞 CVE-2026-83844 已经有修复了，但它只躺在 Microsoft Store 里，Windows Update 不会推。这意味着所有「补丁靠 WSUS / Windows Update 统一管」的终端，很可能至今还是未修复状态。更麻烦的是，漏洞库里的版本阈值与微软安全公告一度不一致，按 CVE 字段做资产扫描的工具会把没修的版本判成已修复。
画图这种「看起来无害」的组件，恰恰是最容易被资产清单漏掉的一类。
事件概述
微软在 10 月 13 日发布公告，定级 Important，CVSS 3.1 评分 8.1，向量为 AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H，CWE 归类为 CWE-125 越界读。公告原文的说法是：攻击者向受影响的服务发送特制数据包，即可在网络上执行代码，不需要登录，也不需要用户交互。公告没有点名是哪个服务。
发布时微软表示该漏洞未被利用、也未被公开披露。截至发稿，它不在 CISA 的已知被利用漏洞（KEV）目录里。
修复版本是画图的 11.2609.401.0。微软商店的自动更新在部分机器上已经推到该版本，测试者 Brian Vitko（设备管理软件厂商 RFF）在本周检查了六个国家的商店，发现当时最新提供的仍是 11.2605.81.0——不带修复的版本。他后续的测试虚机通过商店自动更新自己升到了修复版本，但这只是一台机器，其他 PC 什么时候能拿到并不明确。
技术细节
第一个坑是分发通道。画图是 Store 应用，走的是应用商店更新链路，与月度安全更新完全分离。企业里常见的做法——补丁服务器统一审批、终端只从内部源取更新——对 Store 应用通常不生效，于是形成「补丁已发布、终端永远收不到」的灰区。
第二个坑是版本号口径。微软安全公告把修复版本写成 11.2609.401.0；而 CVE 记录与 NVD 条目在报道时仍写着「低于 11.2605.91.0 受影响」，按这个口径，11.2605.91.0 及以上都算安全。公告的修订历史里至今只有 10 月 13 日那一条，没有为改版本号留下说明。结果就是：只读 CVE 字段的扫描器，会把一个实际未修复的 11.2605.9x 版本标成合规。以 11.2609.401.0 为准，两个口径下都是安全的只有这个版本及以上。
第三个坑是按用户安装。像其他 Store 应用一样，画图是按每个用户账户分别安装的，系统还可能保留一份「预置副本」，用于给以后新建的用户自动安装。只查当前登录用户，会漏掉其他用户的旧副本，也会漏掉那份预置副本。管理员权限的 PowerShell 里跑这两条：
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version低于 11.2609.401.0 的每一份副本都要处理：通过商店更新，或交给商店自动更新；有 Intune 等设备管理工具的，直接跑一次 Store 应用更新扫描批量推。改完再跑一遍上面两条，确认每份副本都是 11.2609.401.0 或更高。
影响评估
评分 8.1 但攻击复杂度标为 High，说明利用需要「对目标系统有较深理解」，短期被大规模利用的概率不高，也没有公开 POC。就危害而言，一旦成功即为远程代码执行，且不需要任何交互——这是它值 8.1 的原因。
真正需要担心的是「长期不修」这件事本身。画图预装在几乎所有 Windows 10/11 桌面上，装机量大、无人关注、不在常规资产清单里，一旦后续出现公开利用代码，未修复的存量会非常可观。类似的情况在 Windows 照片、截图工具、Web 媒体扩展上都发生过：组件小、用户多、补丁走商店、管理员以为月度补丁已经覆盖。
修复建议
- 把「Store 应用更新」纳入补丁基线，与月度补丁分开跟踪。至少每季度核对一次关键内置应用（画图、照片、记事本、终端、Web 媒体扩展）的版本。
- 公告没有提供任何 workaround 或缓解措施。在修复到位之前，Vitko 的建议是：对不需要画图的用户与预置副本直接卸载。这一动作他本人未做测试，做之前先小范围验证。
- 资产扫描规则要改口径：不要只信 CVE 记录的 affected 版本区间，对 Store 应用要以厂商公告里的 fixed build 为准，并把「无法读取应用版本」视为未知而不是合规。
- 终端数量多的，优先处理对外暴露面大的机器——远程桌面、对外服务、跳板机，这些机器上多一个 RCE 的意义与办公机完全不同。