微软画图曝出远程代码执行漏洞，修复版要去应用商店手动更新

作者：林序

微软画图应用出现越界读取导致的远程代码执行漏洞，影响 11.0.0.0 至 11.2605.91.0 之前的版本。修复版已上架 Microsoft Store，但 Windows Update 尚未推送，用户需手动检查更新。

微软画图应用被曝出一个远程代码执行漏洞，修复版已经上架 Microsoft Store，但 Windows Update 还没推送。想补上这个漏洞，用户得自己去应用商店手动检查更新 。

受影响的是 11.0.0.0 到 11.2605.91.0 之前的版本。远程代码执行（RCE）指的是攻击者能借漏洞在别人电脑上运行自己的代码；这一例的成因是“越界读取”，就是程序读取了超出允许范围的数据，最坏情况下可被用来进一步攻击 。

画图预装在每一台 Windows PC 上，潜在受影响范围因此很宽，这也是这条消息值得留意的地方。近一段时间微软给画图加了不少新功能，包括 AI 生成图像；按 Solidot 的说法，新功能也带来了新 bug 。

漏洞是否已被在野利用、具体怎么触发，目前没有公开信息 。眼下能做的事很简单：打开 Microsoft Store，找到画图，点检查更新。习惯等 Windows Update 的用户，暂时还等不到这个版本 。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] 微软画图应用曝出远程代码执行漏洞