Основатель Binance Чанпэн Чжао (CZ) сегодня поделился предупреждением об уязвимости в Windows Paint CVE-2026-83844 и призвал немедленно обновить операционную систему. Оценка уязвимости по CVSS — 8,1. 6 ноября Microsoft изменила объявление об обновлении: исправленная версия теперь — 11.2609.401.0. Microsoft отмечает, что данных об эксплуатации уязвимости пока нет. （Предыстория: SlowMist предупреждает: вредоносная программа для iPhone «DarkSword» уже используется в атаках — достаточно открыть веб-страницу, чтобы злоумышленники могли украсть мнемоническую фразу от криптокошелька） （Дополнительный контекст: обнаружена десятилетняя уязвимость в серверах Linux: длинная случайная последовательность символов в пароле позволяет войти в систему, исправление уже выпущено） Краткое содержание CZ 7 ноября поделился предупреждением об уязвимости Paint и призвал немедленно обновить систему Уязвимость Paint получила оценку CVSS 8,1; для атаки не требуется действий пользователя Для полного устранения уязвимости Paint необходимо обновить до версии 11.2609.401.0 Основатель Binance Чанпэн Чжао (CZ) 7 ноября в 15:19 (по тайваньскому времени) процитировал и переслал в X предупреждение о кибербезопасности. В нём говорилось об уязвимости удалённого выполнения кода в Windows Paint (Microsoft Paint). Он написал: «Приложения не могут защитить вас от уязвимостей операционной системы. Немедленно обновите ОС». (Оригинал: Apps can’t protect you from OS vulnerabilities. Update your OS immediately.) Приложения не могут защитить вас от уязвимостей ОС. Немедленно обновите ОС. https://t.co/B7NisFEhQe — CZ BNB (@cz_binance) November 7, 2026 Первоисточником публикации стал аккаунт по кибербезопасности Dark Web Informer, который следит за киберпреступностью в сети. Пост был опубликован утром 6 ноября по тайваньскому времени. В нём сообщалось, что уязвимость имеет номер CVE-2026-83844 и оценку CVSS 8,1; она затрагивает версии ниже 11.2605.91.0. Также утверждалось, что неаутентифицированный злоумышленник может удалённо выполнить вредоносный код без каких-либо действий со стороны пользователя. Microsoft обновила объявление: исправленная версия теперь — 11.2609.401.0 Согласно данным Центра реагирования на инциденты безопасности Microsoft (MSRC), об уязвимости впервые сообщили 13 октября (по времени США) — в день ежемесячного планового выпуска обновлений безопасности Microsoft. Тип уязвимости — чтение за пределами буфера (CWE-125): программа считывает данные из памяти за пределами выделенной области. CVSS — общепринятая в отрасли система оценки уязвимостей с максимальным баллом 10; оценка 8,1 соответствует высокому уровню риска. 6 ноября (по времени США) MSRC обновил объявление. Microsoft сообщила, что для полного устранения уязвимости Paint необходимо обновить до версии 11.2609.401.0. В тот же день была изменена и запись CVE: теперь уязвимыми считаются все версии ниже 11.2609.401.0. В их число входит и версия 11.2605.91.0, упомянутая Dark Web Informer. В качестве канала обновления MSRC указал только Microsoft Store. Microsoft рекомендует пользователям установить новую версию или проверить, что обновление установилось автоматически. Для атаки не требуется действий пользователя, но её сложность оценена как высокая Вектор CVSS показывает, что атаковать уязвимость можно через сеть (AV:N). Злоумышленнику не нужны какие-либо привилегии (PR:N), а также не требуется взаимодействие с пользователем (UI:N). В разделе часто задаваемых вопросов MSRC поясняется, что неаутентифицированный злоумышленник может отправить специально сформированные пакеты через сеть уязвимой службе. Успешная эксплуатация может позволить злоумышленнику выполнять код в целевой системе. При этом сложность атаки указана как «высокая» (AC:H). MSRC поясняет, что злоумышленнику необходимо хорошо разбираться в целевой системе, а успех атаки также зависит от среды, конфигурации системы и других мер защиты. Microsoft присвоила уязвимости уровень серьёзности «важный» — на одну ступень ниже, чем «критический» (Critical), как указано в заголовке Dark Web Informer. Компания также считает, что уязвимость «маловероятно будет использована». CZ уже несколько дней подряд напоминает об обновлении системы Начиная с 5 ноября CZ как минимум четыре раза призывал пользователей в X обновить систему или установить исправления. 5 ноября он поделился предупреждением SlowMist о вредоносной программе DarkSword для iPhone и написал: «Обновляйте iOS до последней версии». (Keep your iOS up-to-date.) На следующий день он добавил: «Ни одно приложение-кошелёк не может обновить за вас операционную систему. Самостоятельное хранение означает личную ответственность». (No wallet software can update your OS. Self-custody means self responsibility.) Часто задаваемые вопросы Какие версии затрагивает уязвимость Windows Paint CVE-2026-83844? После обновления объявления Microsoft 6 ноября уязвимыми считаются все версии Paint ниже 11.2609.401.0, в том числе версия 11.2605.91.0, о которой сообщалось ранее. Используют ли хакеры уязвимость Paint CVE-2026-83844? Пока нет. Microsoft отмечает, что уязвимость не раскрывалась публично и не использовалась в атаках, а также считает её эксплуатацию маловероятной. Оценка по CVSS — 8,1; для атаки не требуется действий пользователя, однако сложность атаки указана как высокая. Связанные материалы CZ: Ни один кошелёк не защищён на 100%! Уязвимость PHP и взлом Railway — Binance срочно выступила с заявлением Открыли Safari на iPhone — и лишились средств! Уязвимость DarkSword в iOS опустошает криптокошельки; CertiK предупреждает: срочно обновите систему В прошивке UEFI обнаружена уязвимость удалённого выполнения кода с оценкой CVSS 9,5! Затронуты прошивки большинства серверов по всему миру Эта статья «CZ поделился предупреждением об уязвимости Windows Paint: уязвимости на уровне системы нужно устранять немедленно» впервые была опубликована на BlockTempo (BlockTempo — самое влиятельное новостное издание о блокчейне).