画图也能被远程执行代码，微软这个洞 10 月就修了

Windows 自带的画图，那个三十年前就装在每台电脑上的小程序，也能出 8.1 分的远程代码执行漏洞。CVE-2026-83844（微软 CNA 编录）记录了画图的 CWE-125 越界读漏洞：未授权攻击者可通过网络执行代码，CVSS 3.1 评分 8.1（HIGH），影响 Paint 11.0.0.0 至 11.2605.91.0 之前的版本。

时间线要说清，这是一条「旧闻翻红」：8 月 31 日预留编号，10 月 13 日公开并发布修复，10 月 31 日更新记录，11 月 5 日 HN 以 325 分把它重新翻上首页，此时距修复已三周。CISA 评估截至 10 月 13 日无在野利用报告、不可自动化，技术影响为 total。注意利用条件：攻击复杂度为高（AC:H），需要用户打开恶意构造的图片文件才触发，不是「打开任意图片就中招」，更不是蠕虫级漏洞，也不要编造 CVE 记录里没有的 POC 与利用链细节。

和前几天的 Alpine OpenSSH 绕过对照着看很有意思：那篇是服务器认证逻辑被绕过，这篇是桌面应用解析文件时的越界读，一个是「认证」出问题，一个是「解析」出问题，攻击面完全不同。但它们共同说明了同一件事：攻击面无处不在，连画图这种人人都装、人人都双击过的应用，解析器里一个越界读也能凑出 8.1 分。

自查只要一分钟：打开 Microsoft Store 把画图升级到 11.2605.91.0 以上即可。日常习惯上，「来历不明的图片别乱开」这条老建议，现在有了 CVE 编号背书。