สรุปสั้น

Microsoft Paint คือ โปรแกรมวาดภาพที่มากับ Windows ซึ่งใน Windows 11 อัปเดตผ่าน Microsoft Store แยกจาก Windows Update Microsoft เผยแพร่ประกาศช่องโหว่ CVE-2026-83844 ใน Paint เมื่อวันที่ 13 ตุลาคม 2569 ในรอบ Patch Tuesday เดือนตุลาคม ช่องโหว่นี้เป็นแบบ out-of-bounds read คือ โปรแกรมอ่านข้อมูลเกินขอบเขตหน่วยความจำที่ควรอ่าน และอาจให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดผ่านเครือข่ายได้โดยผู้ใช้ไม่ต้องทำอะไร คะแนน CVSS อยู่ที่ 8.1 ระดับสูง ไม่ใช่วิกฤต เพราะ Microsoft ประเมินว่าความซับซ้อนของการโจมตีสูง คือ ต้องอาศัยเงื่อนไขที่ทำให้โจมตีสำเร็จได้ยาก

ปัญหาที่ทำให้ช่องโหว่นี้เป็นข่าว คือ การตรวจว่าแพตช์แล้วหรือยังทำได้ยาก Microsoft ระบุเวอร์ชันที่แก้แล้วเป็น 11.2605.91.0 ก่อนจะเปลี่ยนเป็น 11.2609.401.0 ขณะที่ผู้ดูแลหลายรายรายงานว่า Microsoft Store ยังเสนอแค่ 11.2605.81.0 แม้ล้าง cache แล้ว Microsoft ยังไม่ได้ระบุบริการที่เปิดรับการโจมตีหรือเส้นทางโจมตีที่สมบูรณ์ ผู้ดูแลจึงควรตรวจเลขเวอร์ชัน Paint ที่ติดตั้งจริงบนเครื่อง ไม่เชื่อแค่ข้อความว่าอัปเดตแล้ว และพิจารณาถอน Paint ชั่วคราวในเครื่องที่ไม่ได้ใช้

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 6 พฤศจิกายน 2569 ว่าการประเมินของ Microsoft ระบุเส้นทางโจมตีผ่านเครือข่าย ไม่ต้องมีสิทธิ์ และความซับซ้อนสูง ต่อมาผู้ดูแลระบบรายงานว่า Microsoft Store ยังเสนอ Paint 11.2605.81.0 แม้สั่งตรวจอัปเดตและรีเซ็ต cache ของ Store แล้ว ขณะที่ประกาศของ Microsoft ระบุ 11.2609.401.0 เป็นเวอร์ชันแก้ไข ซึ่งชี้ว่าเลขเวอร์ชันที่อ้างตอนแรกอาจผิด แต่ Microsoft ยังไม่ยืนยันคำอธิบายนี้

สถานะการแจกจ่ายก็ยังไม่ชัด ผู้ดูแลบางรายบอกว่าหาเวอร์ชันแก้ไขไม่ได้ ขณะที่ผู้ร่วมสนทนาใน Reddit รายหนึ่งบอกว่าได้รับอัปเดตผ่าน Microsoft Store แล้ว รายงานรายบุคคลเหล่านี้บอกสถานะทั่วไปไม่ได้ และข้ออ้างว่าการได้รับอัปเดตขึ้นกับภูมิภาคก็ยังไม่ได้รับการยืนยัน ข้อจำกัดของข้อมูลมี 3 ข้อ:

  • เส้นทางโจมตีไม่ชัด — ไฟล์รูปที่ประดิษฐ์ขึ้นอาจกระตุ้นช่องโหว่ได้ แต่คำแนะนำของ Microsoft ที่ถูกอ้างถึงกลับพูดถึง packet เครือข่ายที่ประดิษฐ์ขึ้นซึ่งส่งไปยังบริการที่ได้รับผล โดยไม่ระบุว่าบริการใด
  • ข้อสันนิษฐานยังเป็นแค่การเดา — ข้อเสนอในวงสนทนาว่าเกี่ยวกับ Copilot หรือส่วนประกอบอื่นยังเป็นการคาดเดา
  • ไม่มีข้อมูลการโจมตีจริง — ประกาศไม่ได้ระบุว่ามีการใช้ช่องโหว่โจมตีแล้ว

รายละเอียดช่องโหว่

อ่านหน่วยความจำเกินขอบเขต — Paint อ่านข้อมูลเลยขอบเขตที่จองไว้เมื่อประมวลผลข้อมูลบางแบบ ช่องโหว่ประเภทนี้มักใช้ร่วมกับเทคนิคอื่นเพื่อรั่วข้อมูลหน่วยความจำหรือควบคุมการทำงานของโปรแกรม จนนำไปสู่การรันโค้ด

ไม่ต้องคลิกแต่โจมตีได้ยาก — คะแนน 8.1 สะท้อนว่าไม่ต้องล็อกอินและไม่ต้องให้ผู้ใช้ทำอะไร แต่ความซับซ้อนสูง Microsoft จึงไม่จัดเป็นวิกฤต สิ่งที่ยังขาด คือ คำอธิบายว่า Paint รับข้อมูลจากเครือข่ายได้ทางไหน ซึ่งเป็นตัวกำหนดว่าเครื่องแบบใดเสี่ยงจริง

แพตช์ผ่าน Microsoft Store ไม่ใช่ Windows Update — Paint ใน Windows 11 เป็นแอป Store การได้รับแพตช์จึงขึ้นกับการอัปเดตของ Store และนโยบายขององค์กรที่อาจปิด Store ไว้ เวอร์ชันที่ Microsoft ระบุว่าแก้แล้ว คือ 11.2609.401.0 ตามประกาศล่าสุด

ผลกระทบ

กลุ่มที่อาจเสี่ยง คือ เครื่อง Windows ที่ติดตั้ง Paint เวอร์ชันก่อนเวอร์ชันแก้ไข ซึ่งแทบทุกเครื่อง Windows 11 มี Paint ติดมา ถ้าเส้นทางโจมตีผ่านเครือข่ายใช้ได้จริง ผู้โจมตีอาจรันโค้ดบนเครื่องโดยไม่ต้องอาศัยการหลอกผู้ใช้ แต่ความซับซ้อนสูงและการที่ยังไม่มีรายละเอียดเส้นทางโจมตีทำให้ความเสี่ยงในทางปฏิบัติตอนนี้ยังประเมินได้ไม่ชัด

ผลกระทบที่เกิดแล้ว คือ ภาระของทีมแพตช์ เพราะเลขเวอร์ชันที่ต้องตรวจเปลี่ยนไปมาและ Store แจกไม่สม่ำเสมอ องค์กรที่วัดผลการแพตช์จากสถานะ “up to date” ของ Store อาจรายงานว่าปลอดภัยทั้งที่เครื่องยังรันเวอร์ชันเก่า

คำแนะนำ

  • ทำทันที: ตรวจเลขเวอร์ชัน Paint ที่ติดตั้งจริง เช่น ด้วย PowerShell Get-AppxPackage Microsoft.Paint | Select Version แล้วเทียบกับ 11.2609.401.0 ตามประกาศล่าสุดของ Microsoft
  • ทำทันที: ถ้า Store ยังไม่เสนอเวอร์ชันแก้ไข ให้ติดตามหน้าประกาศ CVE-2026-83844 ของ Microsoft และพิจารณาถอน Paint ชั่วคราวในเครื่องที่ไม่ได้ใช้ เช่น เซิร์ฟเวอร์หรือเครื่องที่ใช้งานเฉพาะ
  • องค์กรที่ปิด Microsoft Store: ตรวจว่าช่องทางแจกแอป Store ขององค์กร เช่น Intune หรือ winget ส่ง Paint เวอร์ชันใหม่ถึงเครื่องจริง
  • ลดความเสี่ยงทั่วไป: จำกัดการเปิดไฟล์รูปจากแหล่งที่ไม่น่าเชื่อถือ แม้ยังไม่ยืนยันว่าเป็นวิธีป้องกันเส้นทางโจมตีผ่านเครือข่ายของช่องโหว่นี้
  • ระยะยาว: รวมแอปที่อัปเดตผ่าน Microsoft Store ไว้ในรายงานการจัดการแพตช์ และวัดผลจากเลขเวอร์ชันที่ติดตั้งจริงแทนสถานะของ Store

แหล่งอ้างอิง