小畫家發現零點擊遠端執行漏洞快一個月，Windows 自動更新卻未能修補
微軟 10 月 13 日揭露 Windows 內建繪圖程式「小畫家」（Paint）有高風險漏洞，編號 CVE-2026-83844，CVSS 評分 8.1（滿分 10），微軟列為「重要」等級。然而多家外媒與 IT 管理員近日發現，即使開啟自動更新，許多電腦小畫家仍停在未修補舊版本。
根據微軟安全性公告，這是「越界讀取」（out-of-bounds read）漏洞，也就是程式讀取不該存取的記憶體區域。未經身分驗證的攻擊者可透過網路傳送特製封包，使用者完全不必點擊，受害電腦就會執行任意程式碼。所幸微軟評估漏洞利用難度高，目前也未傳出遭實際攻擊的案例。
微軟同日已經Microsoft Store推送修補，官方文件指出，小畫家11.2609.401.0以上版本即受保護。但科技網站Windows Latest實測發現，Microsoft Store開啟自動更新也顯示沒有可用更新，電腦小畫家卻仍是11.2603.251.0。Reddit也有系統管理員回報無法取得新版，部分企業防毒軟體則將小畫家標示為缺少安全修補。
更令人困惑的是，CVE紀錄列出的受影響範圍為11.2605.91.0以下，與微軟支援文件的門檻不一致。目前仍無法確定問題出在更新推送，還是微軟誤植版本號。此外，小畫家透過Microsoft Store獨立維護，即使安裝10月修補逾千項漏洞的Windows 11更新，也不代表小畫家已一併修補。
使用者可到「設定」→「應用程式」→「已安裝的應用程式」查看小畫家版本，或在開始按鈕按右鍵開啟「終端機（系統管理員）」，輸入「Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version」查詢。Windows Latest建議，無論版本號是否達標，都應先到Microsoft Store手動更新至目前能取得的最新版；企業IT部門則應逐台確認端點實際安裝的版本，不宜只憑派送狀態就結案。
Paint has a no-click security flaw. Your PC might've missed the patch
Microsoft Paint Zero-Click RCE Flaw Leaves Users Facing Patch Availability Gaps
（首圖來源：微軟）