MS Paint-ээс 0-Click RCE цоорхой илэрлээ: Windows Update засварыг нь хүргэж чадахгүй байгаа шалтгаан

Windows үйлдлийн систем дээр олон арван жил ажиллаж ирсэн, бүх хөгжүүлэгчдийн мэдэх хамгийн энгийн бөгөөд "гэмгүй" хэрэгсэл бол мэдээж MS Paint билээ. Гэтэл сүүлийн 24 цагийн дотор кибер аюулгүй байдлын хүрээнийхнийг цочроосон нэгэн үйл явдал боллоо: Microsoft Paint дээр сүлжээгээр алсаас дурын код ажиллуулах (Remote Code Execution - RCE) боломжтой ноцтой эмзэг байдал илэрч, үүнийг засварлах үйл явц байгууллагуудын IT болон хөгжүүлэгчдийн дунд жинхэнэ толгойн өвчин болж эхэллээ.

Энэхүү цоорхой нь CVE-2026-83844 гэж бүртгэгдсэн бөгөөд CVSS үнэлгээ нь 8.1 (High) байна. Хамгийн ноцтой нь CVSS векторын дагуу халдагч хэрэглэгчийн ямар ч оролцоогүйгээр буюу 0-Click (UI: None) зарчмаар сүлжээний пакет илгээж халдах боломжтой гэж тодорхойлогджээ.

Энгийн зураг зурдаг програм яагаад сүлжээний халдлагад өртөв?

Хөгжүүлэгч хүнээс "MS Paint сүлжээ сонсдог уу (listen)?" гэж асуувал бараг бүгд "Үгүй" гэж хариулах биз. Тэгвэл яагаад CVSS вектор дээр AV:N (Network) болон UI:N (User Interaction: None) гэж тэмдэглэгдсэн бэ?

Асуудлын гол цөм нь санах ойн Out-of-bounds Read (CWE-125) алдаа юм. Орчин үеийн Windows 11 дээр Paint нь зүгээр нэг хуучны mspaint.exe байхаа больж, үйлдлийн системийн бусад олон модультай нягт уялдсан, тусдаа MSIX багц болсон байна.

Файлын систем, сүлжээний share хавтас (SMB), алсын холболт (RDP) эсвэл систем дотор медиа зураг хүлээн авах үед Windows background дээр thumbnail болон превю (preview) үүсгэхийн тулд зургийн декомпресс хийдэг хөдөлгүүрүүдийг дууддаг. Халдагч тусгайлан бэлтгэсэн зураг агуулсан пакет эсвэл файлыг сүлжээгээр илгээх үед Paint-ийн график парсер санах ойн зөвшөөрөгдсөн хязгаараас хэтрүүлэн уншилт хийснээр тухайн хэрэглэгчийн эрхээр дурын код ажиллуулах нөхцөл бүрддэг байна.

"Feature Creep" ба орчин үеийн аппын архитектурын урхи

Эрт үеийн MS Paint ердөө 1-2MB хэмжээтэй, сүлжээний ямар ч хамааралгүй, зөвхөн цэвэр офлайн C/C++ бинар файл байсан. Гэвч сүүлийн жилүүдэд Microsoft энэхүү жижиг хэрэгсэлд:

Copilot болон хиймэл оюуны тусламжтай зураг засварлах функцүүд (Cocreator, Generative Erase),
Cloud хадгалалт болон телеметр интеграци,
Үйлдлийн системийн үндсэн цөмөөс тусгаарлагдсан орчин үеийн UWP/MSIX бүтэц нэмсэн билээ.

Программ хангамжийн хөгжүүлэлтэд үүнийг "Feature Creep" буюу хэт олон шаардлагагүй боломж нэмж хөөсрүүлэх үзэгдэл гэдэг. Жижиг, энгийн байх ёстой хэрэгсэлд шинэ технологи, сүлжээний модуль, гаднын сангуудыг шахаж өгснөөр системийн халдлагад өртөх талбар (attack surface) огцом тэлж, эцэстээ 40 жилийн түүхтэй энгийн зураг зурдаг програмыг сүлжээний RCE цоорхойтой болгож хувиргажээ.

Том асуудал: Windows Update засварыг нь өгөхгүй байна!

Энэхүү цоорхойн талаарх хамгийн том шуурга яагаад сүүлийн 24 цагт дэгдэв? Хөгжүүлэгчид болон sysadmin-ууд хамгийн их цочирдсон зүйл бол энэ засварыг уламжлалт Windows Update, WSUS эсвэл Patch Tuesday сувгаар суулгах боломжгүй байгаа явдал юм.

Microsoft уг аппликейшнийг үйлдлийн системийн үндсэн сангаас салгаж Microsoft Store-оор түгээдэг болгосон тул засварласан хувилбар болох 11.2609.401.0 хувилбар зөвхөн Store-оор дамжиж ирж байна.

Энэ нь дараах томоохон асуудлуудыг дагуулж байна:

Байгууллагын машинууд хамгаалалтгүй үлдсэн: Ихэнх байгууллага, хөгжүүлэгчдийн орчинд аюулгүй байдлын үүднээс Microsoft Store-ийг Group Policy-оор хаасан байдаг. Эдгээр төхөөрөмжүүд рүү автоматаар патч очихгүй байна.
Per-user суулгалт: MSIX аппууд Windows дээр нэвтэрсэн хэрэглэгч бүрийн профайл дээр тус тусдаа хувилбараар сууж болдог. Нэг админ хэрэглэгч дээр шинэчлэгдсэн ч систем дээрх бусад профайл дээр хуучин хувилбар нь үлдэх эрсдэлтэй.
Хувилбарын зөрүү: Анхлан тайланд 11.2605.91.0 хувилбарыг засварлагдсан гэж мэдээлсэн ч бодит байдал дээр зөвхөн 11.2609.401.0 хувилбар цоорхойг бүрэн хаасныг мэргэжилтнүүд илрүүлжээ.

Хөгжүүлэгчид болон инженерүүд системээ хэрхэн шалгаж, засах вэ?

Хэрэв та Windows машин дээр код бичиж байгаа эсвэл байгууллагынхаа машинуудыг хариуцдаг бол таны төхөөрөмж аль хэдийн патчлагдсан эсэхийг доорх алхмаар шалгах шаардлагатай.

1. Одоогийн хувилбараа шалгах

PowerShell (Admin эрхээр биш ч болно) нээгээд дараах командыг ажиллуулна:

Get-AppxPackage -Name *Paint* | Select-Object Name, Version

Хэрэв таны хувилбар 11.2609.401.0-оос бага байгаа бол (жишээ нь 11.2605.81.0 эсвэл түүнээс өмнөх) таны систем хамгаалагдаагүй байна.

2. Засварыг гараар суулгах

Хэрэв та Microsoft Store ашиглах боломжтой бол:

Microsoft Store апп нээнэ.
Зүүн доор байрлах Library хэсэг рүү орж Get updates товч дарна.
Paint аппликейшн хамгийн сүүлийн хувилбар луу шинэчлэгдсэн эсэхийг баталгаажуулна.

Хэрэв Microsoft Store блоклогдсон орчинд ажиллаж байгаа бол winget хэрэгслээр CLI-аар татах боломжтой:

winget upgrade --id 9PCFS5B6T72H

Энэ явдлаас бид юу сурах ёстой вэ?

Энэхүү хэрэг явдал нь орчин үеийн программ хангамжийн бүтээгдэхүүний архитектурт том сургамж болж байна:

Decoupling буюу салангид архитектурын дагалдах эрсдэл: Аппликейшнуудыг OS-ийн цөмөөс салгаж багцлах нь хөгжүүлэлтийн хурдад сайн боловч аюулгүй байдлын төвлөрсөн шинэчлэлтийн (centralized patching pipeline) гинжийг тасалдуулж болзошгүйг харууллаа.
C/C++ санах ойн асуудлууд: Санах ойн хязгаараас давж унших (out-of-bounds read) алдаа 2026 онд ч хамгийн хүчирхэг системүүдийг сөхрүүлсээр байна. Хэрэв зургийн декодчилогч хөдөлгүүрүүд Rust зэрэг memory-safe хэл дээр бичигдсэн байсан бол энэ төрлийн 0-Click цоорхой үүсэх магадлал бараг үгүй байх байв.
Хамгийн бага эрх ба энгийн байдал (KISS зарчим): Зөвхөн зураг зурах, дэлгэцийн агшин хадгалах зориулалттай хэрэгслүүдэд хиймэл оюун, үүлэн үйлчилгээ, төрөл бүрийн дэвшилтэт холболтуудыг заавал нэмэх шаардлага бий юу гэдэг асуултыг энэхүү кейс хөгжүүлэгч бүрийн өмнө тавьж байна.

Эх сурвалж:

The Hacker News: Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It
NIST National Vulnerability Database (NVD): CVE-2026-83844 Detail
Microsoft Security Response Center (MSRC): Security Update Guide for CVE-2026-83844