Windows 11 自带的「画图」这次成了安全短板。微软 10 月 13 日公布 CVE-2026-83844，CVSS 评分 8.1 分、等级「重要」，问题出在画图处理特定格式数据时的内存越界读取——攻击者只要向目标电脑上相关的服务发送一个精心构造的网络数据包，就能触发远程代码执行，全程不需要用户点任何东西，也不需要事先通过身份验证。
图：微软给出的安全版本是画图 11.2609.401.0，但不少设备仍停留在旧版本。
事实要点
- 漏洞编号 CVE-2026-83844，CVSS 8.1，微软 10 月 13 日披露，归类为「重要」级别，属于内存越界读取导致的可远程执行代码问题。
- 触发方式极低门槛：攻击者向漏洞服务发送特制网络数据包即可，无需身份验证、无需用户交互。微软同时表示实际利用难度较高，暂未发现在野利用。
- 官方修复版本为画图 11.2609.401.0 或更高，通过 Microsoft Store 分发，而不是随 Windows 每月累积更新下发。
- 11 月 5 日、11 月 7 日两轮媒体报道与实测显示：即使开启了 Microsoft Store 自动更新，画图仍停留在 11.2603.251.0 等旧版本，商店里也看不到可安装的安全更新，原因至今不明——是微软撤回了修复版本，还是公告里的目标版本号写错，暂未有定论。
- 自查方法：在命令行窗口执行 Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version，版本低于 11.2609.401.0 即为未修复。
影响解读
这件事真正暴露的问题不是「又一个漏洞」，而是补丁分发的盲区。很多单位把「系统已更新到最新」当成安全检查的终点，可画图、记事本、照片、终端这类内置应用早已拆成独立 App，走的是应用商店的更新通道。系统补丁打得再齐，只要商店那一环卡住，应用层的漏洞就一直敞着。更麻烦的是它不会报错、不会提醒，用户完全无感。
对普通用户来说，风险窗口取决于这个服务是否对外可达；但对企业终端来说，问题会放大——几十上百台机器，没有人会逐台打开商店点检查更新，最终就是「以为都打好了，其实一台都没打上」。
建议
- 先自查再谈放心：在受影响的电脑上跑一遍上面的 PowerShell 命令，把版本号记下来，低于 11.2609.401.0 的单独列清单。
- 手动刷新商店：打开 Microsoft Store → 库 → 获取更新，再回到画图页面看是否有更新；仍无更新时，可尝试重置商店缓存（wsreset）后重试。
- 企业端不要靠人工点：用 Intune、SCCM 或登录脚本统一采集 Get-AppxPackage 结果，把「商店应用版本」纳入补丁合规报表，而不是只统计 Windows KB 编号。
- 收敛暴露面：非必要不对外放开本机相关服务端口，办公网与生产网分区分域，降低这类「本机服务型」漏洞被远程触达的可能。
- 关注官方状态：在微软安全公告页确认该 CVE 的修复版本与分发状态，避免长期停留在「公告说已修复、实际装不上」的状态。
小结
补丁管理的口径该更新了：系统更新、驱动更新、商店应用更新是三套通道，少一套都不算打完。画图这个 8.1 分的漏洞提醒我们，最容易被忽略的往往是那些「天天在用、从不打理」的内置小工具。
系统更新失败、商店打不开、Office 三天两头报错？深圳市前程电脑有限责任公司提供电脑维修、数据恢复、组装升级、品牌电脑、打印耗材、IT 运维等业务，服务深圳市南山区西丽大学城及周边，电话 / 微信 13714744580，可上门做一次完整的终端补丁体检。