CVE-2026-83844 คือช่องโหว่ใน Paint บน Windows 11 ที่ Microsoft ให้คะแนน 8.1 จาก 10 และปิดไปเมื่อ 13 ตุลาคม Microsoft ระบุเวอร์ชันที่แก้แล้วไว้ แต่ช่วงต้นพฤศจิกายน ทั้งผู้ใช้ แอดมิน และนักข่าว กลับหาเวอร์ชันนี้ใน Microsoft Store ไม่เจอ ยังไม่รู้ว่าปัญหานี้เกิดกับคนจำนวนมากแค่ไหน ถึงตอนที่เผยแพร่ Microsoft ยังไม่ได้รายงานการโจมตีผ่านช่องโหว่นี้ จึงไม่มีเหตุให้ตื่นตระหนก แต่ก็ควรเช็ก Paint ของตัวเอง และถือโอกาสทำความเข้าใจไปด้วยว่าทำไม Windows Update ถึงไม่ได้ดูแลโปรแกรมทุกตัวที่มากับระบบอีกต่อไป
รู้อะไรบ้างเกี่ยวกับช่องโหว่นี้
ชุดแพตช์เดือนตุลาคมของ Microsoft ทำสถิติใหม่: ช่องโหว่มากกว่า 1,400 รายการในวันเดียว BleepingComputer นับได้ 1,411 ส่วน Qualys นับได้ 1,414 Paint กินที่ในรายการนี้แค่บรรทัดเดียว และในบทความสรุปทั่วไปแทบไม่มีใครสังเกต
คำอธิบายของ Microsoft สั้นมาก: การอ่านข้อมูลเกินขอบเขตบัฟเฟอร์ใน Windows Paint ทำให้ผู้โจมตีที่ไม่ได้ยืนยันตัวตนรันโค้ดผ่านเครือข่ายได้ ถ้าแปลจากภาษาสายช่องโหว่ให้เป็นภาษาคน ก็คือในบางสถานการณ์โปรแกรมไปอ่านข้อมูลนอกพื้นที่หน่วยความจำที่จัดไว้ให้มัน ซึ่งมักเกิดตอนแยกวิเคราะห์ข้อมูลที่มีโครงสร้างไม่ตรงกับที่โปรแกรมคาดไว้ ข้อผิดพลาดแบบนี้ส่วนใหญ่ทำให้โปรแกรมแครช หรือหลุดข้อมูลบางส่วนจากหน่วยความจำส่วนอื่นออกมา Microsoft เขียนว่าข้อผิดพลาดนี้อาจนำไปสู่การรันโค้ดได้ แต่ไม่ได้เปิดเผยว่าทำได้ยังไง
คะแนน 8.1 มาจากแบบนี้: การโจมตีทำผ่านเครือข่าย ไม่ต้องมีบัญชีผู้ใช้ และไม่ต้องให้ผู้ใช้ทำอะไรเลย ส่วนความเสียหายที่อาจเกิดกับการรักษาความลับ ความถูกต้องสมบูรณ์ และความพร้อมใช้งาน Microsoft มองว่าสูง แต่ความยากของการโจมตีถูกระบุว่าสูง ในคำอธิบายของ Microsoft บอกว่าผู้โจมตีต้องเข้าใจระบบอย่างลึกซึ้ง และความสำเร็จไม่การันตี ขึ้นอยู่กับสภาพแวดล้อม การตั้งค่า และกลไกป้องกัน ระดับความรุนแรงคือ Important ไม่ใช่ Critical ช่องโหว่นี้ไม่ได้ถูกเปิดเผยต่อสาธารณะก่อนออกแพตช์ Microsoft ไม่ได้ระบุกรณีการโจมตีที่รู้จัก และประเมินว่าโอกาสถูกนำไปใช้โจมตีจริงต่ำ ในการติดป้ายของ CISA หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ ภาพก็เหมือนกัน: ตอนที่ประเมินยังไม่พบการนำไปใช้โจมตี และตามการประเมินของพวกเขา การโจมตีนี้ทำแบบอัตโนมัติไม่ได้
ยังไม่รู้ว่าใครเป็นคนเจอช่องโหว่นี้: ในส่วนขอบคุณของ Microsoft ระบุไว้แค่ว่าเป็นนักวิจัยนิรนาม Microsoft ไม่ได้เผยแพร่ขั้นตอนการโจมตีโดยละเอียดหรือ exploit สาธิต และในข้อมูลที่ผมหาเจอก็ไม่มีเหมือนกัน
รายละเอียดแปลก ๆ: “แพ็กเก็ตไปยังบริการที่มีช่องโหว่”
สำหรับคำถามว่า “ผู้โจมตีจะใช้ประโยชน์จากช่องโหว่นี้ได้อย่างไร” Microsoft ตอบว่า ผู้โจมตีที่ไม่ได้ยืนยันตัวตนส่งแพ็กเก็ตเครือข่ายที่สร้างขึ้นเป็นพิเศษไปยังบริการที่มีช่องโหว่ โดยไม่ต้องให้ผู้ใช้ทำอะไร สำหรับโปรแกรมแต่งภาพ เรื่องนี้ฟังดูแปลก: Paint เป็นแอปธรรมดา ไม่ใช่บริการเครือข่ายที่รอรับการเชื่อมต่อขาเข้า
ดูเหมือนจะเป็นเรื่องของข้อความแม่แบบ ผมเช็กชุดแพตช์เดือนตุลาคมผ่าน API แบบเปิดของ Microsoft: ประโยคเดียวกันแบบคำต่อคำอยู่ในคำอธิบายของช่องโหว่ 57 รายการ ทั้งของ DHCP server, DNS, Network Policy Server และส่วนประกอบอื่นที่รับแพ็กเก็ตจากเครือข่ายจริง ๆ แปลว่าจากประโยคนี้ เราบอกไม่ได้ว่าการโจมตีในกรณีของ Paint ทำงานยังไง
ลองเทียบดู: เมื่อกุมภาพันธ์ 2569 Microsoft ปิดช่องโหว่ CVE-2026-20841 ใน Notepad และอธิบายไว้อย่างละเอียด ผู้ใช้เปิดไฟล์ Markdown กดลิงก์ข้างใน แล้ว Notepad ก็รันสิ่งที่ไม่ควรรัน ในที่เดียวกัน Microsoft ยังอธิบายแยกไว้ด้วยว่าทำไมช่องโหว่นี้ถึงเรียกว่า “ระยะไกล” ทั้งที่การโจมตีเกิดบนคอมพิวเตอร์ของเหยื่อเอง สำหรับ Paint ไม่มีคำอธิบายแบบนี้
Techzine และสื่ออื่น ๆ เขียนว่าการโจมตีทำผ่านรูปภาพที่เตรียมไว้เป็นพิเศษ ส่วน Windows Latest เอาคำว่า “ช่องโหว่ที่ไม่ต้องคลิกเลยสักครั้ง” ขึ้นพาดหัว ข้อแรกเป็นการเดาที่สมเหตุสมผลสำหรับโปรแกรมแต่งภาพ แต่ในข้อความของ Microsoft ไม่มี ข้อสองเป็นการเล่าต่อจากค่า “ไม่ต้องให้ผู้ใช้ทำอะไร” ในการให้คะแนน ไม่ใช่ข้อเท็จจริงที่ยืนยันแล้ว ตราบที่ยังไม่มีการเผยแพร่รายละเอียด วิธีโจมตีก็ยังไม่ชัด และพูดไปตามนั้นตรง ๆ จะซื่อตรงกว่า
ใครบ้างที่ได้รับผลกระทบ
Microsoft ระบุว่า Paint ที่มีช่องโหว่คือตั้งแต่เวอร์ชัน 11.0.0.0 ขึ้นไป นี่คือ Paint รุ่นใหม่จาก Microsoft Store ที่ติดมากับ Windows 11: ในหน้าร้านค้าระบุระบบขั้นต่ำว่า Windows 11 ส่วน Paint แบบคลาสสิกของ Windows 10 ไม่อยู่ในรายการผลิตภัณฑ์ที่ได้รับผลกระทบ บนโน้ตบุ๊ก Windows 10 ของผมก็เป็นตัวนี้แหละ เวอร์ชัน 10.0.19041 และไม่มีแพ็กเกจจากร้านค้าเลย การไม่อยู่ในรายการแปลแค่ว่า Microsoft ไม่ได้ระบุไว้ ไม่ได้แปลว่า Paint ตัวเก่าผ่านการตรวจแล้วว่าปลอดภัย อีกอย่าง Windows 10 ก็หมดระยะซัพพอร์ตไปตั้งแต่ 14 ตุลาคม 2568 แล้ว
ถ้าคุณจะค้นช่องโหว่นี้ในแคตตาล็อกของ Microsoft ไม่ต้องตกใจ: ค้นด้วยคำว่า Paint จะเจอรายการเดือนตุลาคมอีกสามรายการ อย่าง “Use after free in Paint” นั่นเป็นช่องโหว่อื่น: เป็นของเอนจิน Chromium ซึ่ง Paint ในที่นี้คือชื่อระบบย่อยที่ใช้วาดหน้าจอ และ Microsoft ปิดช่องโหว่พวกนี้ด้วยการอัปเดตเบราว์เซอร์ Edge
แพตช์ที่ไม่มีในร้านค้า
ปัญหาหลักของเรื่องนี้ไม่ได้อยู่ที่ตัวช่องโหว่ แต่อยู่ที่การส่งแพตช์ไปถึงผู้ใช้ Paint ใน Windows 11 ไม่ได้อัปเดตผ่าน Windows Update แต่อัปเดตผ่าน Microsoft Store เหมือนแอปทั่วไป ในประกาศของ Microsoft ก็เขียนไว้แบบนี้เลย: การแก้ไขคือการอัปเดตแอปใน Store และผู้ใช้ต้องลงมือเอง
จากนั้นความสับสนเรื่องเลขเวอร์ชันก็เริ่มขึ้น ตอนนี้ Microsoft ระบุว่าบิลด์ที่แก้แล้วคือ 11.2609.401.0 แต่รายการ CVE บน cve.org ที่อัปเดตเมื่อ 31 ตุลาคม ยังบอกว่าเวอร์ชันที่ต่ำกว่า 11.2605.91.0 มีช่องโหว่ ตามข้อมูลของ Techzine เลขนี้เคยอยู่ในประกาศของ Microsoft ด้วยในตอนแรก และเป็นเลขเดียวกับที่ผู้ใช้คนหนึ่งพูดถึง ตอนที่เขาถามในฟอรัมทางการ Microsoft Q&A เมื่อ 30 ตุลาคมว่าจะเอาอัปเดตได้จากไหน เขาเขียนว่าในร้านค้ามีแค่ 11.2605.81.0 ส่วนเวอร์ชัน 11.2605.91.0 หาไม่เจอทั้งใน Store และในข้อมูลรีลีสสาธารณะ ใต้คำถามมีคนมากกว่าสี่สิบคนกดบอกว่าเจอปัญหาเดียวกัน มีคนตอบอยู่คนเดียว เป็นสมาชิกฟอรัม ไม่ใช่พนักงาน Microsoft: เขาเดาว่าเลขเวอร์ชันพิมพ์ผิด ส่วน Microsoft เองไม่ได้ตอบอะไรในหน้านั้น
การเปลี่ยนเลขเป็น 11.2609.401.0 ไม่ได้ปรากฏในประวัติการเปลี่ยนแปลงของประกาศ: ที่นั่นยังมีอยู่รายการเดียว ลงวันที่ 13 ตุลาคม คือ “Information published”
ปัญหาที่หาอัปเดตไม่เจอยังคงอยู่ แม้จะเปลี่ยนเลขแล้ว เมื่อ 5 พฤศจิกายน Windows Latest และ Techzine เขียนถึงปัญหานี้ ผู้เขียนของ Windows Latest เปิดการอัปเดตอัตโนมัติของร้านค้าไว้ แต่ Paint ยังค้างอยู่ที่เวอร์ชัน 11.2603.251.0 และ Store ก็ไม่เสนออัปเดตอะไร ตามข้อมูลของ Techzine ร้านค้ายังแจก 11.2605.81.0 ต่อไป และการล้างแคชของร้านค้าก็ไม่ช่วย ดูเหมือนว่าเลขเวอร์ชันของ Paint จะฝังปีและเดือนของบิลด์ไว้: 2603 คือมีนาคม 2605 คือพฤษภาคม 2609 คือกันยายน ถ้าเป็นแบบนั้นจริง คนที่ร้องเรียนก็ยังไม่ได้แม้แต่บิลด์เดือนกันยายนที่ Microsoft บอกว่าแก้แล้ว แต่นี่เป็นการเดาของผมจากรูปแบบเลขเวอร์ชัน Microsoft ไม่ได้อธิบายรูปแบบนี้ไว้
ทำไมถึงเป็นแบบนี้ ยังไม่รู้แน่ชัด อาจเป็นเพราะอัปเดตถูกปล่อยแบบค่อยเป็นค่อยไป และไม่ได้ปล่อยทุกประเทศพร้อมกัน: Techzine เล่าต่อคำพูดของผู้ใช้คนหนึ่งว่าแพตช์มีให้แค่ในเอเชียใต้ และลิงก์ไปร้านค้าในประกาศของ Microsoft ก็พาไปที่ Store เวอร์ชันสิงคโปร์ แต่นี่เป็นความบังเอิญ ไม่ใช่การยืนยัน หรืออาจเป็นอีกแบบ: ในประกาศใส่เลขผิดอีกรอบ จนถึง 6 พฤศจิกายนยังไม่มีคำอธิบายทางการ
เช็กเวอร์ชัน Paint ยังไง และควรทำอะไร
อย่างแรก เปิด Microsoft Store เข้าไปที่ Library (คลังแอป) แล้วกด Get updates (รับการอัปเดต) จากนั้นเช็กเลขเวอร์ชัน: การที่ร้านค้าอัปเดตอะไรบางอย่างไป ไม่ได้แปลว่าบิลด์ที่ต้องการติดตั้งแล้ว
เลขเวอร์ชันที่แน่นอนดูได้จาก PowerShell ควรรันใน “Windows PowerShell” ตัวปกติจากเมนูเริ่ม (Start): ใน PowerShell 7 ตัวใหม่ โมดูลสำหรับจัดการแอปจากร้านค้าโหลดไม่ขึ้นบนเครื่องผม และคำสั่งก็จบลงด้วยข้อผิดพลาด
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, VersionMicrosoft ระบุว่าบิลด์ที่แก้แล้วคือ 11.2609.401.0: ถ้าของคุณเป็นเวอร์ชันนี้หรือใหม่กว่า ก็ไม่มีปัญหา ถ้าเวอร์ชันต่ำกว่า แปลว่าอัปเดตยังมาไม่ถึงคุณ ถ้าคำสั่งรันผ่านโดยไม่มีข้อผิดพลาดแต่ไม่แสดงอะไรเลย แปลว่าบัญชีผู้ใช้ของคุณไม่ได้ติดตั้ง Paint จากร้านค้าไว้ แต่ผู้ใช้คนอื่นบนคอมพิวเตอร์เครื่องเดียวกันอาจมีก็ได้
ถ้าอัปเดตไม่มา ไม่ต้องกังวล: ยังไม่มีการโจมตีที่รู้จัก และ Microsoft ประเมินว่าการโจมตียาก แต่ก็ไม่จำเป็นต้องนั่งรอเฉย ๆ ระหว่างที่ Microsoft ยังไม่อธิบายว่าการโจมตีทำงานยังไง จะงดใช้ Paint ไปก่อนก็ได้ รวมถึงไม่เปิดไฟล์จากอีเมล แอปแชท หรือเว็บไซต์ที่ไม่รู้จักด้วย Paint ถ้า Paint ถูกตั้งเป็นโปรแกรมเปิดรูปภาพเริ่มต้น ให้เปลี่ยนใน “การตั้งค่า” (Settings) ส่วน “แอป” (Apps) หัวข้อ “แอปเริ่มต้น” (Default apps) ถ้าไม่ได้ใช้ Paint เลย ก็ถอนการติดตั้งได้ในที่เดียวกัน ในรายการแอปที่ติดตั้งไว้ แล้วค่อยติดตั้งกลับจากร้านค้าตอนที่เวอร์ชันที่แก้แล้วพร้อมให้ใช้ นี่เป็นมาตรการป้องกันไว้ก่อน ไม่ใช่คำแนะนำของ Microsoft: ยังไม่รู้ว่ามันช่วยป้องกันช่องโหว่ตัวนี้ได้แค่ไหน สำหรับคนที่ดูแลคอมพิวเตอร์หลายเครื่องในองค์กร ควรดึงรายงานเวอร์ชัน Paint ผ่านระบบจัดการอุปกรณ์ แทนที่จะเชื่อสถานะ “ติดตั้งอัปเดตครบแล้ว”
ทำไมเรื่องนี้ไม่ได้เกี่ยวแค่กับ Paint
หลายปีมานี้ Microsoft ย้ายโปรแกรมในตัวของ Windows 11 ไปไว้ในร้านค้า: Paint, Notepad, Snipping Tool, มีเดียเพลเยอร์ และโคเดก แบบนี้อัปเดตได้เร็วกว่า แต่ก็มีอีกด้าน: Windows Update ไม่ได้รับผิดชอบโปรแกรมพวกนี้อีกแล้ว ในชุดแพตช์เดือนตุลาคมชุดเดียวกัน ยังมีช่องโหว่อีกตัวที่ปิดผ่าน Store คือในส่วนขยายวิดีโอ MPEG-2 และเมื่อกุมภาพันธ์ก็คือช่องโหว่ใน Notepad ที่พูดถึงไปแล้ว
ทุกวันอังคารที่สองของเดือน Microsoft จะปล่อยแพตช์ และในวันแบบนี้ควรเข้าไปดูไม่ใช่แค่ Windows Update แต่ดู Library (คลังแอป) ของ Microsoft Store ด้วย เรื่องของ Paint แสดงให้เห็นว่า แม้แต่ในนั้น “ไม่มีอัปเดต” ก็ไม่ได้แปลว่า “แก้ครบแล้ว” เสมอไป
