Lỗ hổng Paint CVE-2026-83844: cách kiểm tra và cập nhật ngay

Paint là một trong những ứng dụng “hiền” nhất trên Windows: mở ảnh, cắt ghép, tô màu, thêm chữ. Vì vậy khi Microsoft xếp một lỗ hổng của Paint vào nhóm “thực thi mã từ xa” (Remote Code Execution), nhiều người dùng bất ngờ. Lỗi này mang mã CVE-2026-83844, được công bố từ ngày 13/10/2026, nhưng câu chuyện chỉ thực sự đáng chú ý vào đầu tháng 11, khi Microsoft đổi số phiên bản vá và cho ra bản Paint mới.

Điểm dễ nhầm nhất: bản vá này không đến qua Windows Update quen thuộc mà đến qua Microsoft Store. Nghĩa là bạn có thể đã cài đủ bản vá Patch Tuesday tháng 11 mà Paint vẫn ở phiên bản cũ. Bài viết này giải thích lỗi theo cách dễ hiểu, chỉ bạn cách tự kiểm tra phiên bản Paint trong vài giây và cập nhật đúng cách, kể cả khi bạn quản lý nhiều máy cho một văn phòng nhỏ.

Câu trả lời ngắn: CVE-2026-83844 là lỗi đọc vượt vùng nhớ trong ứng dụng Paint của Windows, có thể bị lợi dụng để chạy mã nếu bạn mở một tệp được chế tạo riêng. Microsoft chưa ghi nhận lỗi bị khai thác. Bạn cần cập nhật Paint lên bản 11.2609.401.0 trở lên qua Microsoft Store, vì Windows Update không mang bản vá này.

Tóm tắt nhanh

Lỗ hổng CVE-2026-83844 nằm trong ứng dụng Paint, loại lỗi đọc vượt vùng nhớ (CWE-125), Microsoft xếp mức Important.

Ngày 6/11/2026, Microsoft cập nhật thông báo: bản Paint vá đầy đủ là 11.2609.401.0, thay cho con số 11.2605.91.0 trước đó.

Ngày 7/11/2026, điểm CVSS được điều chỉnh từ 8.1 xuống 7.0: tấn công cục bộ, cần người dùng tương tác.

Microsoft cho biết lỗi chưa bị công bố trước và chưa bị khai thác, đánh giá “khả năng bị khai thác thấp”.

Bản vá chỉ đến qua Microsoft Store. Hãy kiểm tra phiên bản Paint và bấm cập nhật trong Store.

Nội dung chính:

CVE-2026-83844 là lỗi gì?
Vì sao số phiên bản vá bị đổi giữa chừng
Chữ “từ xa” trong tên lỗi nghĩa là gì
Cách kiểm tra phiên bản Paint trên máy bạn
Cách cập nhật Paint qua Microsoft Store
Vì sao Windows Update không vá được Paint
Hướng dẫn cho văn phòng, doanh nghiệp nhỏ
Hiểu lầm phổ biến
Thói quen an toàn khi mở tệp lạ
Câu hỏi thường gặp
Kết luận

CVE-2026-83844 là lỗi gì?

Theo trang thông báo bảo mật chính thức của Microsoft (Security Update Guide), CVE-2026-83844 có tên “Windows Paint Remote Code Execution Vulnerability”. Đây là một lỗi đọc vượt vùng nhớ (out-of-bounds read, mã phân loại CWE-125): khi xử lý một dữ liệu đầu vào đặc biệt, Paint đọc ra ngoài phần bộ nhớ lẽ ra nó được phép đọc. Trong những điều kiện phù hợp, kiểu lỗi này có thể bị lợi dụng để chạy mã tùy ý trên máy nạn nhân.

Microsoft xếp lỗi ở mức Important (quan trọng), thấp hơn một bậc so với Critical. Ở phần đánh giá khả năng khai thác, hãng ghi rõ lỗi chưa được công bố công khai trước khi có bản vá và chưa bị khai thác ngoài thực tế, đồng thời xếp vào nhóm “Exploitation Less Likely”, tức khả năng bị khai thác thấp. Người báo lỗi được ghi nhận là “Anonymous” (ẩn danh). Lỗi cũng chưa có trong danh mục lỗ hổng đang bị khai thác (KEV) của cơ quan an ninh mạng Mỹ CISA tại thời điểm các trang tin bảo mật kiểm tra.

Infographic lỗ hổng Paint CVE-2026-83844: CVSS 7.0, mức Important, chưa bị khai thác, bản vá 11.2609.401.0 — Bốn con số cần nhớ về lỗ hổng Paint CVE-2026-83844 theo thông báo cập nhật ngày 7/11/2026 của Microsoft.

Vậy tại sao một lỗi “khả năng khai thác thấp” vẫn đáng để bạn dành vài phút? Lý do nằm ở chỗ Paint có mặt trên rất nhiều máy Windows 11, và cách vá lỗi này khác thói quen của đa số người dùng. Nhiều người nghĩ “cứ Windows Update là xong”, trong khi Paint lại nhận bản vá theo một đường khác. Thêm vào đó, chính con số phiên bản vá đã thay đổi giữa chừng, khiến cả quản trị viên cũng có lúc tưởng máy đã an toàn.

Ảnh chụp trang thông báo bảo mật Microsoft MSRC cho lỗ hổng Windows Paint CVE-2026-83844 — Trang thông báo CVE-2026-83844 trên Microsoft Security Update Guide, cập nhật lần cuối ngày 7/11/2026. Nguồn ảnh: chụp màn hình msrc.microsoft.com.

Vì sao số phiên bản vá bị đổi giữa chừng

Khi công bố lần đầu ngày 13/10/2026, thông báo của Microsoft nêu bản Paint đã vá là 11.2605.91.0, và điểm CVSS ban đầu là 8.1. Vấn đề là bản 11.2605.91.0 không xuất hiện trên Microsoft Store. Theo ghi nhận của một chuyên gia quản trị hệ thống viết trên blog kỹ thuật RFF, ngày 5/11/2026 bản Paint mới nhất mà Store phân phối ở sáu thị trường được kiểm tra (Mỹ, Anh, Đức, Úc, Ấn Độ, Singapore) vẫn chỉ là 11.2605.81.0, tức thấp hơn bản vá.

Ngày 6/11/2026, Microsoft phát hành bản sửa đổi 2.0 của thông báo, nêu rõ: để khắc phục toàn diện lỗi này, hãng đã phát hành phiên bản Paint mới mang số 11.2609.401.0 và khuyến nghị người dùng cài bản này hoặc kiểm tra xem máy đã tự cập nhật chưa. Cùng ngày, Store bắt đầu phân phối bản 11.2609.401.0 ở các thị trường được kiểm tra. Sang ngày 7/11/2026, bản sửa đổi 2.1 bổ sung phần hỏi đáp và điều chỉnh điểm CVSS, Microsoft gọi đây là “thay đổi mang tính thông tin”.

Dòng thời gian bản vá Paint CVE-2026-83844 từ 13/10 đến 7/11/2026, đổi từ 11.2605.91.0 sang 11.2609.401.0 — Bản vá Paint đổi từ 11.2605.91.0 sang 11.2609.401.0; máy chỉ thật sự được vá khi lên bản mới.

Hệ quả thực tế: nếu trước đây bạn hoặc bộ phận IT đã so phiên bản Paint với con số cũ, kết luận “đã vá” có thể không còn đúng. Thước đo duy nhất bây giờ là 11.2609.401.0 trở lên. Mọi bản thấp hơn, kể cả 11.2605.81.0 hay 11.2605.91.0, đều cần cập nhật.

Chữ “từ xa” trong tên lỗi nghĩa là gì

Tên lỗi có chữ “Remote Code Execution” (thực thi mã từ xa), nhưng véc-tơ tấn công trong điểm CVSS mới lại ghi “Local” (cục bộ). Nghe có vẻ mâu thuẫn, và chính Microsoft đã bổ sung phần hỏi đáp ngày 7/11/2026 để giải thích. Theo hãng, chữ “từ xa” nói về vị trí của kẻ tấn công: họ không ngồi trước máy bạn. Còn bản thân cuộc tấn công diễn ra cục bộ trên máy.

Microsoft đưa ví dụ: khi điểm CVSS ghi tấn công cục bộ và cần người dùng tương tác, kịch bản có thể là kẻ gian dùng thủ đoạn lừa đảo để thuyết phục nạn nhân tải về và mở một tệp được chế tạo riêng từ một trang web, dẫn tới tấn công trên máy tính của họ. Hãng cũng nói độ phức tạp tấn công cao: kẻ tấn công cần hiểu sâu hệ thống, và thành công không được đảm bảo, phụ thuộc môi trường, cấu hình và các lớp bảo vệ khác trên máy.

Sơ đồ ba bước: bị dụ dỗ, tải tệp về, mở bằng Paint; lỗ hổng Paint cần người dùng tương tác — Theo Microsoft, kịch bản tấn công cần nạn nhân tự tải và mở tệp, nên cảnh giác với tệp lạ là lớp phòng thủ đầu tiên.

Điều này có ý nghĩa gì với bạn? Rủi ro thấp hơn nhiều so với những lỗi “không cần bấm gì”. Tuy vậy, chiêu “gửi ảnh, gửi file thiết kế, gửi hóa đơn” qua email, Zalo, Messenger là kịch bản lừa đảo rất phổ biến ở Việt Nam. Chỉ cần một lần mở nhầm tệp trên máy chưa vá là đủ để tạo cơ hội cho kẻ gian. Vì vậy, cập nhật vẫn là việc nên làm ngay, nhất là khi nó chỉ mất vài phút.

Cách kiểm tra phiên bản Paint trên máy bạn

Bạn có ba cách, chọn cách nào tiện nhất. Mục tiêu chỉ là đọc được số phiên bản rồi so với 11.2609.401.0.

Cách 1: Xem ngay trong Paint

Mở Paint (gõ “Paint” vào ô tìm kiếm trên thanh tác vụ).
Bấm biểu tượng bánh răng (Cài đặt) ở góc trên bên phải cửa sổ.
Kéo xuống phần giới thiệu về ứng dụng, đọc số phiên bản hiển thị.

Cách 2: Xem trong Cài đặt Windows

Mở Cài đặt (phím Windows + I), chọn Ứng dụng, rồi Ứng dụng đã cài đặt.
Tìm “Paint”, bấm dấu ba chấm bên cạnh và chọn Tùy chọn nâng cao.
Số phiên bản nằm ở phần thông số của ứng dụng.

Cách 3: Dùng PowerShell (chính xác nhất)

Mở PowerShell bằng quyền quản trị (chuột phải nút Start, chọn Terminal (Admin)) rồi chạy lệnh mà các chuyên gia khuyến nghị để xem bản Paint của mọi tài khoản trên máy:

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version

Nếu máy có nhiều tài khoản người dùng, mỗi tài khoản có thể có một bản Paint riêng vì ứng dụng Store được cài theo từng người dùng. Lệnh trên có tham số -AllUsers để không bỏ sót bản nào.

Ba cách kiểm tra phiên bản Paint trên Windows: trong Paint, trong Cài đặt Windows và bằng PowerShell — Ba cách xem phiên bản Paint; số hiện ra phải từ 11.2609.401.0 trở lên mới là đã vá.

Đọc kết quả phiên bản Paint
Phiên bản Paint	Tình trạng	Việc cần làm
11.2605.81.0 hoặc thấp hơn	Chưa vá	Cập nhật qua Microsoft Store
11.2605.91.0	Con số vá cũ, Microsoft đã thay	Vẫn cập nhật lên bản mới
11.2609.401.0 trở lên	Đã vá đầy đủ	Giữ bật tự cập nhật ứng dụng

Cách cập nhật Paint qua Microsoft Store

Paint trên Windows 11 là một ứng dụng phân phối qua Microsoft Store, nên bản vá cũng đến từ đó. Microsoft khuyến nghị cài bản 11.2609.401.0 hoặc kiểm tra xem máy đã tự cập nhật hay chưa. Các bước thủ công như sau:

Mở ứng dụng Microsoft Store.
Bấm biểu tượng Thư viện (Library) ở góc dưới bên trái.
Bấm Nhận bản cập nhật (Get updates). Nếu Paint có trong danh sách, chờ tải và cài xong.
Mở lại Paint hoặc chạy lại lệnh PowerShell để chắc phiên bản đã lên 11.2609.401.0.

Bốn bước cập nhật Paint qua Microsoft Store: mở Store, vào Thư viện, nhận bản cập nhật, kiểm tra lại — Cập nhật Paint qua Microsoft Store chỉ mất vài phút và không cần khởi động lại máy.

Lưu ý: các trang tin bảo mật ghi nhận tốc độ Store đẩy bản mới tới từng máy không giống nhau. Một máy thử nghiệm tự lên bản vá qua tính năng tự cập nhật của Store, nhưng không có gì bảo đảm mọi máy đều nhận ngay. Nếu bấm “Nhận bản cập nhật” mà chưa thấy Paint, hãy thử lại sau vài giờ. Đồng thời, nên bật tự cập nhật ứng dụng: trong Microsoft Store, bấm ảnh đại diện, chọn Cài đặt và bật mục Cập nhật ứng dụng.

Giao diện ứng dụng Paint trên Windows 11 với thanh công cụ và tính năng Coloring book — Paint trên Windows 11 là ứng dụng cập nhật qua Microsoft Store, tách biệt với Windows Update. Nguồn ảnh: Microsoft (Windows Insider Blog).

Vì sao Windows Update không vá được Paint

Trên Windows 11, nhiều ứng dụng đi kèm như Paint, Notepad hay Snipping Tool đã được tách ra thành ứng dụng Store để Microsoft có thể cập nhật tính năng nhanh hơn, không phải chờ bản cập nhật hệ điều hành hằng tháng. Mặt trái của cách làm này là bản vá bảo mật của các ứng dụng đó cũng đi theo đường Store.

Với CVE-2026-83844, các trang tin bảo mật đều nhấn mạnh bản vá được phát hành qua Microsoft Store chứ không qua Windows Update, và không có số KB nào đi kèm. Vì vậy, nếu bạn vừa cài bản vá Patch Tuesday tháng 11 (xem thêm bài Patch Tuesday 11/2026: Microsoft vá 1.093 lỗi, Outlook zero-day), đó là việc rất tốt nhưng chưa đủ cho riêng lỗi Paint này.

So sánh Windows Update và Microsoft Store: chỉ Store mang bản vá Paint 11.2609.401.0 — Windows Update và Microsoft Store là hai đường cập nhật riêng; bản vá Paint chỉ có ở Store.

Một trường hợp cần chú ý là máy tắt Microsoft Store hoặc chặn cập nhật ứng dụng theo chính sách công ty. Những máy này sẽ không tự nhận bản vá, nên người quản lý cần chủ động kiểm tra theo phần hướng dẫn bên dưới.

Hướng dẫn cho văn phòng, doanh nghiệp nhỏ

Nếu bạn phụ trách vài chục máy tính trong văn phòng, điểm khó là ứng dụng Store được cài theo từng tài khoản. Một máy dùng chung cho nhiều nhân viên có thể có bản Paint mới ở tài khoản này nhưng bản cũ ở tài khoản khác. Ngoài ra còn có bản “cài sẵn” (provisioned) dành cho tài khoản sẽ tạo mới sau này. Các chuyên gia khuyến nghị quy trình bốn bước:

Liệt kê bản Paint của mọi tài khoản bằng lệnh Get-AppxPackage -AllUsers -Name Microsoft.Paint trong PowerShell quyền quản trị.
Kiểm tra bản cài sẵn bằng lệnh Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version.
Đẩy cập nhật tập trung: máy quản lý bằng Microsoft Intune có thể dùng tính năng quét cập nhật ứng dụng Store; máy lẻ thì cập nhật qua Store như hướng dẫn ở trên.
Kiểm tra lại sau vài ngày: chạy lại hai lệnh, mọi dòng phải từ 11.2609.401.0 trở lên.

Checklist bốn bước kiểm tra lỗ hổng Paint trên nhiều máy cho doanh nghiệp nhỏ bằng PowerShell và Intune — Với văn phòng nhiều máy, cần soát cả bản Paint của từng tài khoản lẫn bản cài sẵn.

Thông báo của Microsoft không đưa ra biện pháp tạm thời (workaround) nào. Một số chuyên gia gợi ý có thể gỡ Paint trên những máy không ai dùng tới, cho cả mọi tài khoản và bản cài sẵn. Tuy nhiên, chính người đưa ra gợi ý cũng nói chưa thử nghiệm cách này, vì vậy nếu muốn làm, hãy thử trên một máy trước khi áp dụng diện rộng. Với đa số văn phòng, cập nhật lên bản mới vẫn là lựa chọn đơn giản và an toàn hơn.

Hiểu lầm phổ biến

“Hacker có thể chiếm máy qua mạng mà mình không cần làm gì.” Không đúng với lỗi này. Theo điểm CVSS mới và phần giải thích của Microsoft, tấn công diễn ra cục bộ và cần người dùng tương tác, ví dụ tải và mở một tệp được chế tạo riêng.

“Cập nhật Windows là đủ.” Chưa đủ. Bản vá Paint đến qua Microsoft Store. Bạn cần kiểm tra phiên bản Paint riêng.

“Paint ít dùng nên không sao.” Ít dùng không có nghĩa là không có trên máy. Chỉ cần mở tệp độc hại bằng Paint một lần trên máy chưa vá là đủ tạo rủi ro. Cập nhật mất vài phút nên không có lý do để trì hoãn.

“Thấy số 11.2605.91.0 là đã vá.” Đây là con số vá cũ mà Microsoft đã thay bằng 11.2609.401.0 trong bản sửa đổi ngày 6/11/2026.

Hiểu lầm và sự thật về lỗ hổng Paint CVE-2026-83844: cần mở tệp, phải cập nhật qua Store — Lỗi Paint không nguy hiểm theo kiểu “không cần bấm gì”, nhưng cũng không được vá qua Windows Update.

Thói quen an toàn khi mở tệp lạ

Lỗi Paint là lời nhắc rằng ngay cả ứng dụng đơn giản nhất cũng có thể trở thành cửa ngõ nếu ta mở tệp từ nguồn không tin cậy. Năm thói quen sau giúp bạn an toàn hơn với cả lỗi này lẫn những lỗi tương tự trong tương lai:

Không mở tệp từ người lạ. Email, tin nhắn Zalo, Messenger mời tải ảnh, file thiết kế, “hóa đơn” bất ngờ: hãy hỏi lại người gửi qua một kênh khác trước khi mở.
Bật tự cập nhật ứng dụng Store. Trong Microsoft Store, bấm ảnh đại diện, chọn Cài đặt, bật Cập nhật ứng dụng.
Cập nhật Windows đều đặn. Nhiều lỗ hổng khác vẫn được vá qua Windows Update hằng tháng.
Giữ Microsoft Defender bật để quét tệp tải về trước khi mở.
Cân nhắc gỡ ứng dụng không dùng trên máy công việc, thử trên một máy trước.

Năm thói quen an toàn khi mở tệp lạ trên Windows để phòng lỗ hổng Paint và lỗi tương tự — Năm thói quen đơn giản giúp giảm rủi ro từ lỗ hổng trong ứng dụng xem, sửa ảnh và tài liệu.

Nếu lỡ mở một tệp lạ trên máy chưa vá, đừng hoảng. Hãy ngắt mạng tạm thời, cập nhật Paint, chạy quét toàn bộ máy bằng Microsoft Defender và đổi mật khẩu các tài khoản quan trọng từ một thiết bị khác nếu thấy máy có dấu hiệu bất thường. Với máy công ty, báo ngay cho bộ phận IT để họ kiểm tra.

Câu hỏi thường gặp

Lỗ hổng Paint CVE-2026-83844 đã bị khai thác chưa?

Theo Microsoft, lỗi chưa bị công bố công khai trước và chưa bị khai thác tại thời điểm công bố, khả năng bị khai thác được đánh giá thấp. Lỗi cũng chưa có trong danh mục lỗ hổng đang bị khai thác của CISA khi các trang tin bảo mật kiểm tra.

Bản Paint nào là bản đã vá?

Bản 11.2609.401.0 trở lên, theo bản sửa đổi ngày 6/11/2026 của thông báo Microsoft. Con số 11.2605.91.0 nêu trước đó đã được thay thế.

Tôi đã cài bản vá Patch Tuesday tháng 11, có cần làm gì thêm không?

Có. Bản vá Paint đến qua Microsoft Store, không qua Windows Update. Hãy kiểm tra phiên bản Paint và bấm Nhận bản cập nhật trong Store.

Store chưa hiện bản cập nhật Paint thì làm sao?

Tốc độ phân phối có thể khác nhau giữa các máy. Hãy giữ bật tự cập nhật ứng dụng, thử lại sau vài giờ và tránh mở tệp lạ bằng Paint trong thời gian chờ.

Có nên gỡ Paint không?

Không bắt buộc. Microsoft không đưa ra biện pháp tạm thời; gỡ Paint chỉ là gợi ý của một số chuyên gia cho máy không cần dùng và chưa được họ thử nghiệm. Với đa số người dùng, cập nhật là đủ.

Kết luận

CVE-2026-83844 không phải loại lỗ hổng khiến máy bị chiếm “trong im lặng”: kẻ gian cần dụ bạn tải và mở một tệp đặc biệt, và Microsoft chưa ghi nhận lỗi bị khai thác. Nhưng câu chuyện bản vá đổi số giữa chừng và việc Paint chỉ được vá qua Microsoft Store cho thấy một bài học quan trọng: cập nhật Windows thôi là chưa đủ, ứng dụng Store cũng cần được để mắt tới.

Hãy dành hai phút hôm nay: mở Paint xem phiên bản, cập nhật qua Store nếu thấp hơn 11.2609.401.0, rồi bật tự cập nhật ứng dụng. Nếu bạn quản lý máy cho gia đình hay văn phòng, hãy chạy lệnh PowerShell để soát đủ mọi tài khoản. Máy của bạn đang ở phiên bản Paint nào? Hãy chia sẻ ở phần bình luận và theo dõi ketnoiso.com.vn để nhận cảnh báo bảo mật kèm hướng dẫn tự bảo vệ dễ làm theo.

Nguồn tham khảo: Microsoft Security Update Guide – CVE-2026-83844; RFF – Kiểm tra bản vá Paint trên Microsoft Store; The Hacker News – Bản vá lỗi Paint đã có; Windows Insider Blog – ảnh giao diện Paint.