微软画图应用曝远程代码执行漏洞，修正版暂仅限 Microsoft Store 提供

漏洞概况

微软画图应用存在一处越界读取漏洞，可被利用导致远程代码执行。受影响版本从 11.0.0.0 到 11.2605.91.0 之前。画图预装于每台 Windows PC，因此漏洞影响范围较广。越界读取意味着应用在读取内存时越过了应有限制，结合特定条件可发展为任意代码执行。公开信息未说明漏洞具体由哪个模块触发，也没有提供在野利用证据或 CVSS 评分。

功能扩张带来的新风险

画图过去被看作功能稳定、攻击面较小的基础工具。但近期微软持续为画图加入新功能，包括 AI 生成能力。功能增加使代码规模变大，也引入了新的缺陷。本次越界读取漏洞出现在这一轮快速功能迭代的背景下。新功能与漏洞之间的具体关联尚未公开。

修复渠道与更新缺口

修正版本已通过 Microsoft Store 提供。用户需要打开商店应用，查找画图并手动安装更新。Windows Update 尚未推送该修正版本，因此依赖系统自动更新的机器可能仍然处于风险中。这种 Store 与 Windows Update 不同步的情况，可能导致用户误以为系统已完成全部安全更新。

更新需要主动进入商店

用户应主动检查 Microsoft Store 中的画图更新并安装最新版本。在完成更新前，应避免打开来源不明的图像文件。对于企业环境，若 Store 访问受限或由集中策略管理，需要确认画图应用能否通过相应渠道获得修复。当前公开信息没有说明 Windows Update 何时会推送该修复。