Microsoft đã công bố CVE-2026-83844 ngày 13/10/2026, một lỗ hổng thực thi mã từ xa (RCE) trong ứng dụng Paint, CVSS 8,1. Tin này đang lan rộng từ đầu tháng 11 với hai điểm dễ gây hiểu sai: nhiều nơi gọi là "0-click nguy hiểm" và nhiều bài vẫn ghi sai số phiên bản đã vá. Theo dữ liệu hiện tại của Microsoft, bản vá là 11.2609.401.0, không phải 11.2605.91.0. Bài này tóm tắt những gì đã xác nhận, những gì chưa rõ, và cách kiểm tra máy của bạn.
Thông tin chính về CVE-2026-83844
| Sản phẩm | Microsoft Paint (ứng dụng phát hành qua Microsoft Store) |
| Loại lỗi | CWE-125: Out-of-bounds Read (đọc vượt giới hạn bộ nhớ) |
| Tác động | Thực thi mã từ xa (Remote Code Execution) |
| Điểm CVSS 3.1 | 8,1 (High), điểm thời gian 7,1 |
| Microsoft xếp hạng | Important, không phải Critical |
| Khả năng bị khai thác | Exploitation Less Likely (ít có khả năng) |
| Đã bị khai thác / công bố trước? | Không / Không (theo Microsoft) |
| Bản đã vá | 11.2609.401.0 trở lên |
| Ngày công bố | 13/10/2026 |
Lỗ hổng này nguy hiểm đến mức nào?
Trên giấy tờ thì đáng chú ý: vector CVSS là AV:N/AC:H/PR:N/UI:N, nghĩa là tấn công qua mạng, không cần đăng nhập, không cần người dùng thao tác. Mục FAQ của Microsoft mô tả kẻ tấn công có thể gửi một gói tin được tạo đặc biệt tới một dịch vụ bị ảnh hưởng qua mạng để chạy mã trên máy mục tiêu.
Nhưng cũng trong FAQ đó, Microsoft nói việc khai thác đòi hỏi hiểu biết sâu về hệ thống và thành công không được đảm bảo, tùy vào môi trường, cấu hình và các lớp bảo vệ khác. Chỉ số E:U trong vector cho biết chưa có mã khai thác được kiểm chứng. CISA cũng đánh giá chưa ghi nhận khai thác và lỗi này không tự động hóa được.
Vì vậy nên hiểu đúng: đây là lỗi cần vá, nhưng hiện chưa phải tình huống khẩn cấp kiểu đã có người tấn công hàng loạt. Tính đến ngày 6/11/2026, CVE này không nằm trong danh sách KEV (lỗ hổng đã bị khai thác) của CISA.
Điểm chưa rõ: Paint nhận dữ liệu từ mạng bằng cách nào?
Paint là ứng dụng trên máy tính, bình thường không mở cổng nghe kết nối mạng. Microsoft không nêu tên dịch vụ, cổng mạng hay chuỗi tấn công cụ thể, và đây là lý do cộng đồng bảo mật đang bàn cãi. Một số trang giải thích theo hướng mở file ảnh độc hại, số khác đoán liên quan tới thành phần khác trong Paint, nhưng cả hai đều chưa được Microsoft xác nhận.
Do đó, tránh mở ảnh lạ là thói quen tốt nhưng chưa thể coi là biện pháp khắc phục cho lỗi này. Cách xử lý chắc chắn duy nhất là lên đúng phiên bản đã vá.
Vì sao có hai số phiên bản khác nhau?
Đây là chỗ dễ nhầm nhất. Ban đầu Microsoft ghi bản vá là 11.2605.91.0, nhưng nhiều quản trị viên phản ánh không tìm thấy bản này trên Microsoft Store (Store chỉ có 11.2605.81.0). Hiện dữ liệu của Microsoft Security Update Guide ghi bản vá là 11.2609.401.0.
| Nguồn (kiểm tra ngày 6/11/2026) | Số phiên bản |
|---|---|
| Microsoft Security Update Guide | Bản vá: 11.2609.401.0 |
| Bản ghi CVE.org | Ảnh hưởng: dưới 11.2605.91.0 (chưa cập nhật theo số mới) |
Microsoft chưa giải thích sự thay đổi này, lịch sử sửa đổi của advisory cũng không ghi nhận gì thêm, nên giả thuyết "gõ nhầm số" vẫn chỉ là suy đoán. Trong thực tế, hãy lấy mốc 11.2609.401.0 để an toàn: máy đang ở 11.2605.x vẫn nên coi là chưa vá.
Cách kiểm tra phiên bản Paint trên máy
Cách 1, trong ứng dụng: mở Paint, bấm biểu tượng bánh răng (Settings) và xem số phiên bản.
Cách 2, bằng PowerShell:
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, VersionNếu cần script cho ra kết quả rõ ràng:
$p = Get-AppxPackage -Name Microsoft.Paintif (-not $p) { 'Paint chua duoc cai cho tai khoan nay' }elseif ([version]$p.Version -ge [version]'11.2609.401.0') { "Da va: $($p.Version)" }else { "CHUA VA: $($p.Version)" }Cách cập nhật
Paint được cập nhật qua Microsoft Store, tách khỏi Windows Update. Máy đã cài đủ bản vá Patch Tuesday tháng 10 chưa chắc đã có Paint mới.
- Mở Microsoft Store, vào Thư viện (Library).
- Bấm Nhận bản cập nhật (Get updates) và chờ danh sách chạy xong.
- Hoặc mở thẳng trang Paint trên Microsoft Store để kiểm tra.
- Kiểm tra lại số phiên bản, đừng chỉ tin dòng báo "đã cập nhật".
Nếu Store không có bản cập nhật?
Đây là tình trạng thật: có báo cáo máy Windows 11 bật tự động cập nhật vẫn ở 11.2603.251.0, trong khi một số người khác đã nhận được bản mới. Nguyên nhân chưa rõ, các tin đồn về việc phát hành theo khu vực cũng chưa được xác minh. Bạn có thể:
- Thử lại sau vài ngày và tiếp tục kiểm tra phiên bản.
- Nếu không dùng Paint, gỡ tạm rồi cài lại từ Store khi có bản mới bằng lệnh
Get-AppxPackage Microsoft.Paint | Remove-AppxPackage. - Không tải gói cài Paint từ trang lạ hoặc link chia sẻ trên mạng, rủi ro từ đó còn lớn hơn lỗ hổng này.
Với doanh nghiệp đang quản lý nhiều máy
- Thêm phiên bản Paint vào báo cáo kiểm kê phần mềm, đừng chỉ dựa vào trạng thái bản vá Windows Update.
- Rà lại Group Policy hoặc MDM (như Intune) xem có đang chặn Microsoft Store hay tự động cập nhật ứng dụng không.
- Khi đối chiếu bằng công cụ quét lỗ hổng, kiểm tra công cụ đang dùng mốc phiên bản nào, vì dữ liệu CVE công khai vẫn là số cũ.
- Xếp đúng ưu tiên: Patch Tuesday tháng 10/2026 có hơn 1.400 lỗ hổng, gồm cả lỗi đang bị khai thác thực tế, nên hãy xử lý các lỗi đó trước rồi theo dõi Paint song song.
Câu hỏi thường gặp
Máy tôi có đang bị hack qua Paint không?
Theo Microsoft, tại thời điểm công bố chưa có khai thác thực tế và chưa có mã khai thác công khai. Không có cơ sở để hoảng loạn, chỉ cần kiểm tra và cập nhật.
Không mở Paint thì có an toàn không?
Chưa thể kết luận, vì Microsoft chưa công bố đường tấn công cụ thể. Nên lên bản vá hoặc gỡ Paint nếu không dùng.
Windows Update đã đầy đủ thì có cần làm gì thêm?
Có. Paint cập nhật qua Microsoft Store nên cần kiểm tra số phiên bản riêng.
