Microsoft đã có bản vá cho lỗ hổng RCE trong Windows Paint — nhưng bản vá này không đi qua Windows Update. Nếu bạn chỉ trông vào Windows Update thì máy vẫn dính lỗi.

Lỗ hổng là gì

CVE-2026-83844: lỗi out-of-bounds read (CWE-125) trong Paint, kẻ tấn công không cần đăng nhập, không cần tương tác của người dùng, có thể gửi một gói tin đặc biệt qua mạng tới dịch vụ bị ảnh hưởng để chạy code. Microsoft chấm CVSS 8.1 (Important), độ phức tạp tấn công cao nên không phải lúc nào cũng khai thác thành công. Microsoft công bố ngày 13/10/2026, ghi nhận chưa bị khai thác và chưa bị công khai vào thời điểm đó; tới nay vẫn chưa vào danh sách CISA KEV và chưa có PoC công khai.

Cái bẫy nằm ở số bản vá

  • Advisory của Microsoft ghi bản vá là Paint 11.2609.401.0, chỉ phát hành qua Microsoft Store (bản này lăn ra toàn bộ kênh Insider ngày 06/11, cùng ngày advisory được sửa).
  • Nhưng hồ sơ CVE và NVD vẫn ghi Paint chỉ bị ảnh hưởng ở bản dưới 11.2605.91.0 — tức máy quét dựa vào CVE sẽ tưởng bản 11.2605.91.0 trở lên là đã an toàn, trong khi thực tế chưa chắc.
  • Tuần trước, khi kiểm tra Store ở 6 nước, bản mới nhất có được chỉ là 11.2605.81.0 — chưa có bản vá. Kiểm tra sau đó ở 10 nước thì đã thấy 11.2609.401.0, nên việc lăn bản vá ra Store có thể khác nhau theo khu vực.

Kết luận thực hành: coi mọi bản Paint dưới 11.2609.401.0 là vẫn còn dính lỗi. Chỉ bản 11.2609.401.0 trở lên mới chắc chắn qua cả hai cách chấm.

Cần làm gì

  1. Mở Microsoft Store > Library > Get updates, hoặc chạy trong terminal: winget upgrade --id 9PCFS5B6T72H --source msstore
  2. Kiểm tra lại mọi bản copy trên máy (Paint cài theo từng user, Windows còn giữ một bản provisioned cho user mới) — tất cả đều phải từ 11.2609.401.0 trở lên.
  3. Microsoft không đưa ra workaround hay mitigation nào — cách duy nhất là lên bản vá.

Bài học cho quản trị hệ thống: không phải bản vá nào cũng đi qua Windows Update. Các app Store như Paint có kênh vá riêng, và máy quét dựa vào CVE có thể báo sai vì số bản trong hồ sơ CVE chưa khớp với advisory.

Nguồn: