Paint trên Windows 11 đã có bản vá lỗi thực thi mã, nhưng Windows Update sẽ không mang nó đến máy bạn

Bản vá cho CVE-2026-83844, lỗi đọc ngoài vùng nhớ (out-of-bounds read) trong Microsoft Paint có thể dẫn đến thực thi mã tùy ý, đã xuất hiện trên Microsoft Store dưới dạng Paint 11.2609.401.0, gần một tháng sau ngày Microsoft công bố lỗ hổng. Điều khiến chuyện này đáng để tâm hơn một bản vá thông thường là cách nó được phát hành: Windows Update không chạm tới Paint, còn thông tin Microsoft đưa ra thì đã đổi nhiều lần trong vòng một tuần.

Windows Update bỏ sót Paint vì đây là ứng dụng Store

Trên Windows 11, Paint không nằm trong lõi hệ điều hành mà được đóng gói như một ứng dụng Store, cập nhật độc lập với các bản vá hằng tháng. The Hacker News xác nhận bản sửa chỉ được phân phối qua Store, và bản 11.2609.401.0 là bản mới nhất ở cả mười quốc gia họ kiểm tra ngày 6/11. Hệ quả thực tế là quy trình quen thuộc của nhiều người, cứ chạy Windows Update đầy đủ là yên tâm, không bảo vệ được ứng dụng này.

Những nhóm dễ bị bỏ lọt nhất là máy công ty chặn hoặc hạn chế Microsoft Store, và máy cá nhân đã tắt tự cập nhật ứng dụng. Store từng phát bản cũ cho một số người dùng, và Windows Latest không nhận được bản mới dù đã bật tự cập nhật. Brian Vitko, người làm phần mềm quản lý thiết bị, kiểm tra Store ở sáu quốc gia hồi đầu tuần trước và thấy bản mới nhất vẫn là 11.2605.81.0, chưa có bản sửa; máy ảo thử nghiệm của ông sau đó tự lên bản vá, nhưng đó mới chỉ là một máy nên chưa nói được các máy khác nhận bản sửa nhanh đến đâu.

Với người dùng Việt Nam, Paint là ứng dụng miễn phí đi kèm Windows 11 nên không có chuyện mua bán hay giá bán. Vấn đề chỉ nằm ở việc máy của bạn đã nhận được bản cập nhật Store hay chưa, đặc biệt là laptop văn phòng do bộ phận IT quản lý.

Microsoft đổi thông tin về lỗ hổng liên tục trong một tuần

Cách Microsoft xử lý bản ghi lỗ hổng này khá lộn xộn. Bản ghi ban đầu ngày 13/10 chấm CVSS 8.1 và mô tả một cuộc tấn công qua mạng. Heise cho biết Microsoft sau đó phân loại lại vector tấn công thành cục bộ vì kẻ tấn công phải dụ nạn nhân mở một tệp được chế tạo sẵn, và điểm giảm xuống 7.0, mức “cao” thay vì nghiêm trọng hơn. Theo cách mô tả mới này, chữ “từ xa” trong tên gọi thực thi mã từ xa (RCE) chủ yếu đến từ việc dụ người dùng mở tệp độc hại. Cách mô tả trên bản ghi cũng chưa thống nhất: The Hacker News trích lời khuyến nghị gốc nói về “gói tin được chế tạo gửi đến một dịch vụ qua mạng”, không cần đăng nhập hay thao tác của người dùng, trong khi bản ghi sau khi chỉnh sửa lại nhấn vào việc mở tệp. Điểm này chưa được Microsoft làm rõ, nên mức rủi ro thật nên đọc theo hướng thận trọng.

Chi tiết đáng chú ý hơn là số hiệu bản an toàn. Ban đầu bản ghi liệt kê Paint 11.2605.91.0 là bản đã vá, nhưng Heise cho biết bản này vẫn còn lỗi và Microsoft đã đính chính sang 11.2609.401.0. Bản ghi CVE và NVD theo The Hacker News vẫn ghi Paint chỉ bị ảnh hưởng khi thấp hơn 11.2605.91.0, tức một công cụ quét đọc theo bản ghi CVE sẽ coi mọi bản từ 11.2605.91.0 trở lên là đã an toàn. Bản 11.2609.401.0 hoặc mới hơn thì qua được cả hai mốc, nên đó mới là con số nên dùng khi kiểm tra.

Chưa có báo cáo nào cho thấy lỗ hổng đang bị khai thác ngoài thực tế. Thời điểm The Hacker News kiểm tra, nó cũng chưa nằm trong danh mục Known Exploited Vulnerabilities của CISA, và Microsoft cho biết kẻ tấn công cần hiểu sâu về hệ thống mục tiêu. Nghĩa là không cần hoảng, nhưng với một lỗi mà bản vá chỉ nằm ở Store, việc để máy chậm cập nhật là rủi ro không đáng có.

Cách kiểm tra từng bản Paint, kể cả tài khoản khác trên cùng máy

Cách nhanh nhất là mở Paint, bấm biểu tượng bánh răng ở góc trên bên phải rồi xem số phiên bản ở mục About Paint. Nếu thấp hơn 11.2609.401.0, mở Microsoft Store, vào trang Paint và cập nhật. Ai đã bật tự cập nhật trong Store thì thường đã được bảo vệ.

Cách đó chỉ kiểm tra tài khoản đang đăng nhập. Paint được cài riêng cho từng tài khoản người dùng, và Windows còn giữ một bản provisioned để cài cho tài khoản mới tạo, nên một máy dùng chung có thể vẫn còn bản cũ ở nơi khác. Vitko đưa ra hai lệnh PowerShell chạy bằng quyền quản trị: lệnh đầu liệt kê bản Paint của mọi tài khoản, lệnh sau liệt kê bản provisioned.

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }

Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

Bản nào thấp hơn 11.2609.401.0 thì cập nhật qua Store, rồi chạy lại cả hai lệnh để chắc rằng mọi dòng đều từ 11.2609.401.0 trở lên. Quản trị viên có thể dùng Intune hoặc công cụ quản lý thiết bị khác để quét và cập nhật ứng dụng Store trên hàng loạt máy. Với máy cá nhân chỉ có một tài khoản, lệnh Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version là đủ.

Trước khi bản sửa lên Store, Vitko từng đề xuất gỡ Paint ở những máy không ai dùng, cho mọi tài khoản và cả bản provisioned, dù chính ông chưa thử cách này. Microsoft không công bố biện pháp giảm thiểu nào khác. Bài học rộng hơn nằm ở chỗ ứng dụng đi kèm hệ điều hành ngày càng được cập nhật theo kênh riêng, và đội IT cần đưa chúng vào danh mục kiểm tra thay vì chỉ nhìn vào trạng thái Windows Update.

Nguồn tham khảo: Microsoft Learn · The Hacker News · Heise Online · PC Gamer