微软画图应用曝出一个远程代码执行漏洞，编号CVE-2026-83844。漏洞源于越界读取，攻击者可能借此在用户电脑上执行任意代码，而画图作为Windows的预装应用，几乎装在每一台Windows电脑上，影响面不容小觑。画图的用户群体覆盖从学生到办公族，任何一个恶意图片文件都可能成为攻击的入口。
受影响的版本范围是从11.0.0.0到11.2605.91.0之前的版本。也就是说，相当长一段时间内发布的画图版本都存在这一问题，用户如果一直没有更新应用，就可能暴露在风险之下。很多用户使用的还是几个月前随系统安装的旧版本，漏洞窗口因此拉得很长。
画图近年来加入了越来越多的新功能，包括AI图像生成，这些新功能在丰富体验的同时，也给这款老牌应用引入了新的代码与新的缺陷。这次漏洞的出现，某种程度上正是功能快速扩张的副产品。
微软方面尚未通过Windows Update推送修复，用户目前需要通过微软商店手动下载修正后的版本。对于不常打开应用商店的用户来说，这个修复路径并不算顺手，也容易被忽略。微软商店的更新机制依赖用户主动打开应用，很多人几个月都不会点开一次，修复的覆盖速度因此大打折扣。
预装应用的风险被低估
画图这类系统预装应用常常被认为人畜无害，但正因为它们随系统分发、用户基数庞大，一旦出现高危漏洞，影响范围远超普通第三方软件。攻击者只需要诱导用户打开一个恶意图片文件，就可能完成攻击链。
越界读取听起来不算严重，但当它与内存布局操控结合时，就能升级为任意代码执行。这类漏洞的利用门槛正在降低，防御方必须把预装应用当作与浏览器、办公软件同等重要的攻击面来对待。安全研究者指出，图片解析类漏洞历来是攻击者的最爱，因为用户对打开一张图片几乎没有任何戒心。
先去商店更新
对普通用户来说，最直接的防护就是打开微软商店，把画图更新到最新版本。系统更新推送修复之前，这一步是唯一能堵住漏洞的办法，花一分钟检查一下应用版本，远比事后清理入侵划算。微软商店的更新只需要点几下鼠标，却常常因为被遗忘而迟迟得不到执行。
对企业IT管理者而言，这次事件也是一个提醒：终端上预装应用的版本管理不能只盯着操作系统补丁，应用商店里的更新同样需要纳入统一的补丁策略，否则就会留下看得见的缺口。
漏洞的细节尚未完全公开，微软也没有说明是否已有实际攻击案例。但考虑到画图的装机量与漏洞的严重程度，尽快更新仍是最稳妥的选择，拖延只会让攻击者有更多准备时间。在官方发布完整技术细节之前，保持应用最新仍是普通用户唯一能做的事。