Եթե կազմեինք Windows-ի ամենավտանգավոր ծրագրերի ցանկը, Paint-ը կլիներ ինչ-որ տեղ հաշվիչի ու ժամացույցի արանքում։

Բայց հոկտեմբերի 13-ին Microsoft-ը հրապարակեց CVE-2026-83844-ը՝ Paint-ի խոցելիություն, որը կարող է հարձակվողին թույլ տալ իր կոդը գործարկել ուրիշի համակարգչում։ Վտանգավորության գնահատականը 8.1 է՝ 10-ից։

Իսկ ամենահետաքրքիրը հետո սկսվեց․ Microsoft-ը նշեց ուղղված տարբերակ, որը... գոյություն չուներ։

Լավ լուրը սկզբից ասենք․ իրական հարձակումների մասին տեղեկություն չկա, իսկ Microsoft-ի գնահատմամբ խոցելիությունը դժվար է օգտագործել։ Այնպես որ խուճապի կարիք չկա, բայց Paint-ը թարմացնել պետք է։ Եվ ոչ, Windows Update-ն այստեղ չի օգնի։

​

Ինչ է պատահել

Microsoft-ը մանրամասներ գրեթե չի հրապարակել։ Հայտնի է միայն, որ որոշակի պայմաններում Paint-ը կարդում է հիշողության այնպիսի հատված, որը չպետք է կարդար։ Մասնագետներն սա անվանում են out-of-bounds read՝ «սահմաններից դուրս կարդալ»։

Պատկերացրեք գրադարանավար, որին ասում են՝ «բերեք դարակի 50-րդ գիրքը», իսկ դարակում ընդամենը 30 գիրք կա։ Լավ գրադարանավարը կասեր՝ «այդպիսի գիրք չկա»։ Մերը չի ստուգում․ շարունակում է հաշվել, հարևան դարակից վերցնում է պատահական մի գիրք ու բերում՝ վստահ, որ հենց դա եք ուզել։ Հիմա պատկերացրեք, որ այդ գիրքը հարձակվողն է այնտեղ դրել, և դրա մեջ գրված է, թե գրադարանավարը հետո ինչ պետք է անի։

Մոտավորապես այսպես է անմեղ թվացող սխալը վերածվում նրան, որ համակարգիչը սկսում է կատարել ուրիշի հրամանները։ Թե կոնկրետ ինչպես է դա տեղի ունենում Paint-ում, Microsoft-ը չի պատմել։

​

Առեղծված․ ինչպե՞ս է հարձակումը հասնում Paint-ին

Microsoft-ի նկարագրությունը մի փոքր տարօրինակ է։ Microsoft-ի խոսքով՝ հարձակումը կարող է կատարվել ցանցով, իսկ օգտատիրոջից ոչինչ պետք չէ՝ ոչ սեղմել, ոչ էլ ինչ-որ բան բացել։ Հարձակվողը պարզապես հատուկ պատրաստված տվյալներ է ուղարկում խոցելի «ծառայությանը»։

Խնդիրն այն է, որ Paint-ը ցանցային ծառայություն չէ։ Այն ինտերնետից ոչինչ չի ընդունում և ոչ մի «դուռ» բաց չի պահում։

Microsoft-ը չի բացատրել, թե ինչ ծառայության կամ ինչ ֆայլի մասին է խոսքը։ Շատ վերլուծաբաններ ենթադրում են, որ ամեն ինչ սկսվում է հատուկ պատրաստված նկարից, ինչպես եղել է Paint-ի նախորդ խոցելիությունների դեպքում, բայց դա դեռ հաստատված չէ։ Օրինակ՝ սեպտեմբերին Microsoft-ն ուղղել էր Paint-ի մեկ այլ խոցելիություն, որի դեպքում օգտատերը պետք է ինքը բացեր վնասակար ֆայլը։ Այո, Paint-ի համար սա այս աշնան երկրորդ CVE-ն է։

​

Windows Update-ն այստեղ անզոր է

Սովորաբար անվտանգության ուղղումները գալիս են Windows Update-ով․ ամիսը մեկ համակարգիչը թարմացվում է, վերագործարկվում, և դուք հանգիստ մտածում եք՝ «վերջ, ապահով եմ»։

Բայց Windows 11-ում Paint-ն առանձին հավելված է, որը թարմացվում է Microsoft Store-ով։ Նույն կերպ են թարմացվում Notepad-ը, Snipping Tool-ը և Photos-ը։ Այսինքն՝ Windows-ը կարող է լրիվ թարմացված լինել, իսկ Paint-ը՝ ոչ։

flowchart LR
    A["Windows Update"] --> B["Windows-ը թարմացված է"]
    C["Microsoft Store"] --> D["Paint-ը թարմացված է"]
    B -.->|"դա չի նշանակում, որ"| D

Windows 10-ի դասական Paint-ն այս խոցելիության ցանկում չկա։

​

Ուրվական տարբերակի պատմությունը

Հոկտեմբերի 13-ին Microsoft-ը հայտարարեց, որ խնդիրն ուղղված է Paint-ի 11.2605.91.0 տարբերակում։ Ադմինիստրատորները գնացին Store... և այդպիսի տարբերակ չգտան։

Հոկտեմբերի վերջին Microsoft-ի Q&A ֆորումում մեկը հարցրեց, թե որտեղ է այդ տարբերակը, քանի որ ամենանորը, որ կարողանում էր ստանալ, 11.2605.81.0-ն էր։ Տասից ավելի մարդ միացավ հարցին՝ «ինձ մոտ էլ նույնն է»։ Store-ն էլ ասում էր՝ «ամեն ինչ թարմացված է», և, ճիշտն ասած, չէր ստում․ ավելի նոր բան պարզապես չկար։

Նոյեմբերի սկզբին Microsoft-ը լուռ փոխեց համարն իր տվյալներում՝ դարձնելով 11.2609.401.0։ Առանց բացատրության, առանց «ներողություն, սխալվել էինք»-ի։ Ինտերնետում քննարկվում են տարբեր վարկածներ՝ տառասխալ, տարբեր երկրներում տարբեր ժամանակ թողարկում, հետ կանչված թարմացում, բայց դրանցից ոչ մեկը հաստատված չէ (WindowsForum)։

Վերջապես նոյեմբերի 5-ին իրական ուղղումը հայտնվեց Store-ում՝ հայտարարությունից երեք շաբաթից ավելի անց։ Իսկ 11.2605.91.0-ն այդպես էլ դարձավ Paint-ի պատմության ամենահայտնի տարբերակը, որը ոչ ոք երբեք չի տեսել։

Ի դեպ, ավտոմատ թարմացումն էլ միշտ չէ, որ անմիջապես օգնում է։ Windows Latest կայքի թեստային համակարգչում, որտեղ Store-ի ավտոմատ թարմացումը միացված էր, նոյեմբերի 5-ին Paint-ը դեռ հին տարբերակով էր։ Ուստի ավելի լավ է ստուգել սեփական աչքով։

​

Paint-ը մենակ չէ

Windows-ի «պարզ» ծրագրերը վաղուց արդեն պարզ չեն․

  • 2010-ին Paint-ը խոցելի էր հատուկ պատրաստված JPEG նկարների նկատմամբ (MS10-005)։

  • 2021–2023-ին Paint 3D-ում ուղղվեց առնվազն վեց խոցելիություն, որոնք կարող էին կոդ գործարկել։

  • 2026-ի փետրվարին իր բաժինը ստացավ Notepad-ը։ Տարիներ շարունակ այն միայն տեքստ էր ցույց տալիս, հետո սովորեց Markdown, և դրա հետ էլ ստացավ CVE․ հատուկ հղումը կարող էր ծրագիր գործարկել առանց զգուշացման։

Paint-ն էլ վերջին տարիներին ստացել է շերտեր, ֆոնի հեռացում և AI գործիքներ։ Կանոնը պարզ է․ ինչքան շատ բան է ծրագիրը կարողանում, այնքան շատ տեղ կա, որտեղ այն կարող է սխալվել։

​

Կարճ ասած

  • Paint-ում կա խոցելիություն՝ 8.1 գնահատականով։

  • Իրական հարձակումներ հայտնի չեն, խուճապի կարիք չկա։

  • Ուղղումը գալիս է Microsoft Store-ով, ոչ թե Windows Update-ով։

  • Ապահով տարբերակը 11.2609.401.0-ն է կամ ավելի նորը։

  • Ստուգեք About Paint-ում, թարմացրեք Store-ի Library բաժնից։

Եվ եթե Paint-ը ձեզ պետք է միայն screenshot-ների վրա կարմիր սլաքներ նկարելու համար, դա էլ բավական պատճառ է այն թարմացնելու։ Կարմիր սլաքներն էլ ապահով միջավայրի իրավունք ունեն։