Microsoft Paint: Bản vá lỗi RCE đã có, nhưng không qua Windows Update
"A remote code execution vulnerability (CVE-2026-83844) exists in Microsoft Paint due to an out-of-bounds read. The fix, build 11.2609.401.0, is available through the Microsoft Store and not via standard Windows Update. Affected systems require updating via the Store or device management tools."
Lỗ hổng thực thi mã từ xa trong Microsoft Paint có thể cho phép kẻ tấn công chiếm quyền điều khiển hệ thống. Mức độ nghiêm trọng cao, với điểm CVSS 8.1.
Các doanh nghiệp Việt Nam sử dụng Paint cần ưu tiên cập nhật lên phiên bản mới nhất để tránh rủi ro mất dữ liệu hoặc gián đoạn hoạt động do khai thác lỗ hổng. Việc kiểm tra tính toàn vẹn của bản vá là cần thiết.
Microsoft vừa phát hành bản vá cho lỗ hổng thực thi mã từ xa (RCE) trong Paint (CVE-2026-83844). Bản vá phiên bản 11.2609.401.0 chỉ có trên Microsoft Store, không phải qua Windows Update thông thường.
Điều này có nghĩa, các hệ thống bị ảnh hưởng cần cập nhật qua Store hoặc các công cụ quản lý thiết bị. Microsoft đánh giá mức độ nghiêm trọng là Important, với điểm CVSS 8.1, và cho biết kẻ tấn công cần hiểu sâu về hệ thống mục tiêu để khai thác. Lỗ hổng này chưa được khai thác hoặc công khai khi Microsoft công bố ngày 13 tháng 10.
Brian Vitko từ RFF, công ty phần mềm quản lý thiết bị, kiểm tra các phiên bản Paint trên Store ở sáu quốc gia và thấy phiên bản mới nhất là 11.2605.81.0, chưa có bản vá. Sau đó, máy ảo của anh tự động cập nhật lên phiên bản đã vá qua Store. Tuy nhiên, tốc độ cập nhật trên các máy khác vẫn chưa rõ ràng.
Microsoft xác định 11.2609.401.0 là phiên bản đã vá. Bản ghi CVE vẫn liệt kê Paint là dễ bị tấn công nếu phiên bản dưới 11.2605.91.0. Do đó, các công cụ quét có thể báo sai nếu chỉ dựa vào thông tin CVE.
Để kiểm tra, bạn có thể dùng PowerShell (chạy với quyền admin) để liệt kê các phiên bản Paint đã cài đặt: Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }. Để kiểm tra bản provisioned: Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version. Cập nhật Paint qua Store nếu phiên bản dưới 11.2609.401.0.
Microsoft không cung cấp biện pháp giảm thiểu tạm thời. Trước khi bản vá có trên Store, Vitko gợi ý gỡ cài đặt Paint nếu không cần thiết, cho tất cả người dùng và bản provisioned.
Câu hỏi thường gặp
CVE-2026-83844 là gì?
CVE-2026-83844 là một lỗ hổng thực thi mã từ xa trong Microsoft Paint. Kẻ tấn công có thể khai thác lỗ hổng này để chạy mã trên hệ thống của bạn.
Làm thế nào để kiểm tra phiên bản Paint hiện tại?
Bạn có thể sử dụng PowerShell với quyền admin để kiểm tra phiên bản Paint đã cài đặt trên máy tính của mình. Lệnh là Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version.
Bản vá cho lỗ hổng này có sẵn ở đâu?
Bản vá phiên bản 11.2609.401.0 chỉ có trên Microsoft Store, không phải qua Windows Update thông thường. Bạn cần cập nhật Paint qua Store.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc bản vá chỉ phát hành qua Microsoft Store có thể gây khó khăn cho các doanh nghiệp Việt Nam sử dụng các công cụ quản lý tập trung. Các công ty nên kiểm tra và đảm bảo tất cả máy tính đã được cập nhật phiên bản Paint mới nhất. Điều đáng chú ý là, việc kiểm tra cả bản provisioned cũng quan trọng để đảm bảo an toàn toàn diện.