Windows 画图漏洞补丁只走商店：三步查出真实版本

【导语】画图也会出漏洞，补丁还不走系统更新。评分从 8.1 改成 7.0，版本门线三处打架，这篇只讲怎么查、怎么装。

评分和向量都改了，中文报道还停在 8.1

10 月 13 日，微软在当月安全更新里披露了画图的远程代码执行漏洞 CVE-2026-83844，类型是越界读取（CWE-125），严重等级「重要」。首版公告给的 CVSS 基础分是 8.1，向量 AV:N/AC:H/PR:N/UI:N，读起来很直白：网络侧可达、不需要账户、不需要你点任何东西。国内报道基本按这一版写，标题里「无需用户操作」就是从这来的。

11 月 7 日，微软把这条记录改了。MSRC 的修订说明写得很克制：新增一条 FAQ、更新 CVSS 分数，属于信息性变更。改成多少？基础分 7.0，临时分 6.1，向量 CVSS:3.1/AV:L/AC:H/PR:N/UI:R。CVE 描述也从「远程执行代码」换成「allows an unauthorized attacker to execute code locally」，落点在本机。

AV:L 是本地，UI:R 是需要用户操作。两个字段的变化，把门槛从「发个数据包」改成「得在本机、得有交互」。受影响范围也随之统一成 11.0.0.0 到 11.2609.401.0 之间。同一个漏洞，前后两套说法，你读到哪一版，取决于稿子写于哪一天。

• 严重等级：Important，两次一致
• CVSS 基础分：10 月 13 日 8.1，11 月 7 日 7.0；临时分 6.1
• 攻击向量：AV:N（网络）改为 AV:L（本地）
• 用户交互：UI:N（无需）改为 UI:R（需要）
• 修复版本：11.2609.401.0，11 月 6 日修订时才写明

降分的理由微软没展开，但边界确实变了

微软在 11 月 7 日新增的 FAQ 没有解释为什么改分，只标成信息性变更。能确认的还有三件事：公告仍把可利用性标为「Exploitation Less Likely」；publiclyDisclosed 和 exploited 两个字段都还是 No；从头到尾没有 WOrkaround，也没有缓解措施。

把 AV:N 改成 AV:L，改变的是「谁该紧张」。服务器、共享机器、天天处理陌生人发来图片的岗位，比如客服、设计外包、招聘，仍然在高风险一侧；一台自己用、不接不明文件的笔记本，风险就落到「别随手打开来源不明的图片」这一层。这条判断是从向量字段推出来的，微软原文没有展开，我给的是推断，没有当成结论。

网上有英文聚合站写 11 月 6 日出现了首个公开 PoC，这条与微软的「未公开披露」互相打架。写作时查了 CISA 的已知被利用漏洞目录，没有这个编号；微软也没有确认在野利用。PoC 的说法我不采信，也不给链接。

补丁不在系统更新里

画图在 Windows 11 里是商店应用（APPX 包），走 Microsoft Store 独立更新。Windows Update 那套机制管的是系统组件，两条通道互不相干。于是会出现一种情况：设置里显示已是最新，画图还停在一年前的包。

微软 11 月 6 日的修订写明，已发布 11.2609.401.0 版本全面解决该漏洞，建议安装或确认已经自动更新。同一天，Windows Latest 的实测是另一回事：商店自动更新开着，检查更新显示没有可用更新，画图版本仍是 11.2603.251.0。Reddit 上有企业管理员反馈同样的情况，部分杀毒软件开始把画图标成「缺少安全补丁」。

顺手记一个读版本的技巧。商店版微软应用的版本号第二段是年月：11.2603.251.0 是 2026 年 3 月，11.2605.81.0 是 2026 年 5 月，11.2609.401.0 是 2026 年 9 月。看到 2603、2605 开头，基本就能判断这是一年前的旧包。

三处门线，只有一处能信

这次最容易踩坑的是版本门线，三个位置给出三个数：

• CVE 记录的曾用值：低于 11.2605.91.0 算受影响。这个版本号在商店里从来没出现过。
• 微软公告的现行值：修复版本 11.2609.401.0，rebootRequired 标的是 Maybe。
• 商店实际能下到的包：11 月初有研究者查了六个国家的商店目录，最新只到 11.2605.81.0，不含修复。

为什么这三处会打架，后果是什么

后果很具体。企业里那套按 CVE 记录读版本号的扫描器，会把 11.2605.81.0 判成已修复，实际它比修复版本低四个小版本。现在 CVE 记录和 NVD 都把范围改成了 11.2609.401.0 以下，但已经生成的历史报告不会自己更新。

判断标准只认一个数：11.2609.401.0 及以上。低于它，就是没修。中间那些 11.2605.x 的包，无论商店怎么显示，都别当成安全版本。

第一步：查版本，三条命令

不想开命令行，图形界面也能看：设置 → 应用 → 已安装的应用 → 找到「画图」→ 右侧三个点 → 高级选项，版本号在页面下方。

要一次查全，用系统自带的命令行工具，第一条普通权限就行。画图按用户安装，一台电脑有几个账户就有几份副本：

• Get-AppxPackage -Name Microsoft.PAInt | Select-Object Version —— 查当前账户的副本
• Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version —— 查所有账户，需要管理员权限
• Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version —— 查系统预置副本

预置副本是最容易漏的那一份

第三条命令查的是预置副本。系统新建账户时会拿它初始化，预置副本版本旧，新账户一登录就继承旧包，修完当前账户等于没修完。三条输出里只要有一条低于 11.2609.401.0，就继续往下走。

第二步：把更新推上去

先走商店：打开 Microsoft Store，左下角「库」，右上角「获取更新」。这一步会重新拉一次更新清单，比干等自动推送快。也可以在商店里搜 Microsoft Paint，进产品页，有「更新」按钮就直接点。这个包的商店 ID 是 9PCFS5B6T72H，命令行同样能用：

• winget upgrade --id 9PCFS5B6T72H --source msstore
• 商店说已是最新、命令查出来还是旧版，运行 wsreset.exe 清商店缓存，再回「库」点一次获取更新
• 企业环境用 Intune 等工具的商店应用更新扫描统一推，个人机器只处理自己账户的那份

别只跑 winget upgrade --all

装机量大的环境有个常见误区：镜像脚本跑一遍 winget upgrade --all 就收工。那条命令管的是 winget 里的包，商店应用的更新要单独审计一遍，否则镜像做完，画图还是旧包。补丁装完再跑一遍第一步的三条命令，确认每条输出都在 11.2609.401.0 以上。

第三步：复检，别信「已更新」

重启标记是 Maybe。进程占用时商店会等它退出再装，装完没生效，先重启一次再看。几个卡点按出现频率排：

• 只更新了一个账户，其他账户还是旧包 —— 用 -AllUsers 查，逐个更新
• 商店一直转圈或报 0x80073D02 —— 先 wsreset.exe，再试一次
• 公司电脑被组策略或 MDM 拦了商店 —— 找 IT 推，自己装不上
• 系统盘剩余空间不足 1GB —— AppX 安装要解包，空间不够会静默失败
• 精简版系统镜像移除了商店 —— 只能从同版本机器导出包再侧载

现在该紧张到什么程度

分三档看。评分从 8.1 降到 7.0，向量改成需要本地访问和用户交互，微软仍标利用可能性较低，也没有确认的在野利用，这是第一档。风险没有归零：补丁分发确实出了问题，一批机器一个月没收到更新，暴露面是实打实的，这是第二档。成本极低：查一次版本、点一次更新，五分钟，这是第三档。

能顺手做的事有四件：把画图升到 11.2609.401.0；清掉不用的账户和多余的副本；来源不明的图片别直接双击打开；Windows 10 的经典画图不在受影响产品列表里，不用跟着折腾。

有研究者建议「用不到画图就卸载」，这条没有经过验证，微软也没有采纳，不建议照做。卸载容易，想装回来还得回商店，中间那段时间图片双击的默认打开方式也会乱。

关注格熊，持续分享最新免费资源！