微软画图（Paint）应用被曝存在一个由越界读取引发的远程代码执行漏洞，受影响版本为 11.0.0.0 至 11.2605.91.0 之前的所有版本。该漏洞意味着攻击者可能借助特制文件或输入触发内存越界访问，进而实现在目标设备上执行任意代码。
画图应用被预装在每一台 Windows PC 上，覆盖范围极广，这使得该漏洞的潜在影响面不容忽视。近年来微软持续为画图应用引入新功能，其中包括基于 AI 的图像生成能力，功能扩张的同时也带来了新的缺陷。此次漏洞的具体触发路径与利用条件尚未公开，但从漏洞类型看，问题出在应用处理数据时的边界校验环节。
目前微软尚未通过 Windows Update 推送修复版本，用户需前往 Microsoft Store 官方应用商店手动下载更新后的版本。对于企业环境而言，这意味着依赖系统级补丁统一分发的终端可能仍处于未修复状态，IT 管理员需要评估是否通过应用商店或终端管理工具单独推动画图应用升级。
画图从系统自带的基础工具演变为承载 AI 生成能力的应用，其代码复杂度与攻击面同步扩大。此次漏洞也提示，预装应用的更新通道与系统补丁通道并不同步，企业终端安全管理需将此类应用纳入独立的版本跟踪范围。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
