מיקרוסופט פרסמה תיקון לפגיעות CVE-2026-83844 באפליקציית Paint של ווינדוס, שעלולה לאפשר הרצת קוד מרחוק. הנקודה המעשית: התיקון מופץ רק דרך Microsoft Store ולא דרך Windows Update, ולכן מכונות שמנוהלות רק בעדכוני ווינדוס עלולות להישאר חשופות.
| מזהה | CVE-2026-83844 |
| מוצר וגרסאות מושפעות | Windows Paint; הנתונים סותרים: ב-NVD מצוינות גרסאות מתחת ל-11.2605.91.0, ובייעוץ של מיקרוסופט הגרסה המתוקנת היא 11.2609.401.0 |
| חומרה | CVSS 8.1 (חמורה); מיקרוסופט מדרגת Important |
| מנוצל בפועל | לא ידוע בעת הפרסום המקורי; לא ב-KEV |
| סטטוס תיקון | גרסה 11.2609.401.0 דרך Microsoft Store בלבד |
מה קרה
מדובר בקריאה מחוץ לגבולות הזיכרון (out-of-bounds read). לפי הייעוץ, תוקף יכול לשלוח חבילה מעוצבת לשירות מושפע ברשת, בלי התחברות או פעולת משתמש; הכתבה מציינת שהצלחה דורשת הבנה מעמיקה של המערכת היעד. מיקרוסופט לא פירסמה workaround.
החוקר שדיווח על כך מצא שה-Store עדיין הציע גרסה לא מתוקנת במספר מדינות, ומכונת בדיקה אחת התעדכנה לגרסה המתוקנת בהמשך באופן אוטומטי. כלומר, מועד ההגעה של התיקון למכשיר מסוים אינו ודאי.
נקודות לשים לב
- עדכן את Paint ל-11.2609.401.0 או חדשה יותר דרך ה-Store; ניתן להפעיל סריקת עדכוני Store מ-Intune וכלי ניהול דומים.
- בדוק את כל העותקים, כולל העותק ה-provisioned, עם
Get-AppxPackage -AllUsersו-Get-AppxProvisionedPackage -Onlineבהרצה כמנהל. - אל תסתמך על דוחות Windows Update כהוכחה שהמכונה מתוקנת.
- היכן שאף אחד לא משתמש ב-Paint, החוקר הציע להסיר אותו; ההצעה לא נבדקה.
- הנתונים על הגרסאות המושפעות סותרים בין NVD למיקרוסופט — השתמש בגרסה שבייעוץ של מיקרוסופט לבדיקה.
מקורות: The Hacker News · MSRC · NVD
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
