كشفت شركة Microsoft في 13 أكتوبر 2026 عن الثغرة (CVE-2026-83844 بتقييم CVSS عند 8.1) في تطبيق Paint ضمن نظام التشغيل Windows. تتمثل الثغرة في قراءة خارج حدود الذاكرة لمعرف ضعف الأمان المرتبط بها (CWE-125)، وتتيح لمهاجم غير مصادق تنفيذ أوامر عن بعد عبر الشبكة دون أي تفاعل من المستخدم.
يتميز متجه الهجوم بكونه شبكياً لا يتطلب صلاحيات مسبقة أو تفاعلاً من المستخدم، غير أن تعقيد الهجوم مرتفع؛ إذ يتطلب استغلال الثغرة فهماً معمارياً دقيقاً للنظام المستهدف، وتعتمد نسبة النجاح على البيئة التشغيلية، والإعدادات، وإجراءات الحماية القائمة. يطال الأثر المتوقع مستويات السرية والسلامة والتوافر بدرجة عالية دون تغيير في نطاق التأثير، في حين تنخفض الدرجة الزمنية للثغرة إلى 7.1 نظراً لعدم توفر كود استغلال مثبت، مع وجود إصلاح رسمي وتأكيد لتقرير الثغرة.
يعتمد مسار الاستغلال، وفقاً لشركة Microsoft، على إرسال المهاجم غير المصادق حزمة بيانات مصممة خصيصاً إلى خدمة متأثرة عبر الشبكة، ما يتيح له تنفيذ تعليمات برمجية على الجهاز المستهدف مباشرة. وتغفل النشرة تحديد هوية هذه الخدمة أو كيفية وصول الهجوم الشبكي إلى تطبيق Paint، مقتصرة على تصنيف الأثر بوصفه تنفيذ كود عن بعد، وتنسب اكتشاف الثغرة إلى باحث أمني مجهول الهوية.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
أظهرت بيانات Microsoft عدم وجود إعلان مسبق أو استغلال نشط للثغرة وقت النشر، مرجحة انخفاض احتمالية استغلالها الفعلي. ويدعم سجل الوكالة الأميركية للأمن السيبراني وأمن البنية التحتية (CISA) هذا التوجه بتأكيد غياب الاستغلال، واستحالة أتمتة الهجوم، رغم تصنيف الأثر التقني بالكلي. وبقيت الثغرة خارج فهرس الثغرات المستغلة المعروفة الخاص بوكالة CISA حتى تاريخ 4 نوفمبر 2026.
يعود التتبع الزمني للثغرة إلى 31 أغسطس 2026 حين حجزت Microsoft معرفها الرسمي، لتنشر تفاصيلها لاحقاً في 13 أكتوبر، وهو اليوم نفسه الذي أدرجت فيه ضمن القاعدة الوطنية للثغرات (NVD). ولا يزال سجل NVD قيد التحليل حتى الآن، معتمداً بشكل ثانوي على التقييم الخاص بشركة Microsoft دون إصدار درجة تقييم مستقلة.
وتحدد بيانات سجل الثغرة النسخ المتأثرة من تطبيق Paint بدءاً من الإصدار 11.0.0.0 وحتى ما قبل الإصدار 11.2605.91.0، في حين يوثق سجل التحديثات الأمنية لشركة Microsoft رقم البناء 11.2609.401.0 كتحديث أمني متاح عبر متجر التطبيقات. ورغم تعديل Microsoft لسجل الثغرة في 31 أكتوبر 2026، يغيب التفسير الرسمي للفجوة بين أرقام الإصدارات، مع عدم توفر حلول أمنية مؤقتة. ويستنتج من البيانات تقنياً أن البناء 11.2609.401.0 يتضمن التصحيح الأمني، وأن النسخ الأقدم من 11.2605.91.0 عرضة للاستغلال، بينما يكتنف الغموض حالة الإصدارات الواقعة بين هذين الرقمين لدى كلا المصدرين. تذكر الشركة حلاً مؤقتاً للثغرة. ويعني ذلك أن الجهاز الذي يحمل البناء 11.2609.401.0 يحمل التحديث الأمني بحسب النشرة، وأن النسخ الأقدم من 11.2605.91.0 تقع ضمن المتأثر بحسب سجل CVE، أما النسخ الواقعة بين الرقمين فلا يوضحها أي من المصدرين.
