11.2609.401.0. זה מספר הגרסה של Paint שכבר מכילה את התיקון, ואם במחשב שלכם רשום מספר נמוך ממנו, העדכון החודשי של ווינדוס לא יסגור את הפער. Paint מתעדכנת דרך חנות מיקרוסופט, מסלול נפרד לגמרי, וזה מה שהופך את החולשה הזאת למטרידה יותר מהרגיל.

מה קרה

ב-13 באוקטובר פרסמה מיקרוסופט חולשה בשם CVE-2026-83844 ב-Windows Paint. לפי ההתרעה הרשמית של החברה, תוקף יכול לשלוח לשירות פגיע במחשב חבילת נתונים בנויה במיוחד וכך להריץ קוד על המחשב. אין צורך בשם משתמש ובסיסמה, ואין צורך שתלחצו על משהו. מיקרוסופט נותנת לחולשה ציון CVSS של 8.1 ומסמנת אותה כ"Important".

כאן נכנסת ההסתייגות החשובה: החברה כותבת שניצול מוצלח דורש מהתוקף היכרות עמוקה עם המערכת שהוא תוקף, ומעריכה את הסיכוי לניצול כנמוך. במועד הפרסום החולשה לא הייתה ידועה כמנוצלת בפועל ולא פורסמה בפומבי לפני כן, והיא גם לא נכנסה לרשימת החולשות המנוצלות של סוכנות הסייבר האמריקאית CISA.

הבעיה היא שהתיקון עצמו מסתובב בין שני מספרים. ההתרעה של מיקרוסופט מציינת את גרסה 11.2609.401.0 כמתוקנת, אבל רשומת ה-CVE הרשמית, שמיקרוסופט עצמה מפרסמת, מסמנת את Paint כפגיעה רק מתחת לגרסה 11.2605.91.0. כלי סריקה שקורא את הרשומה הזאת יגיד לכם שהמחשב בסדר גם בגרסה נמוכה יותר. אתר The Hacker News בדק היום את החנות בעשר מדינות ומצא שהגרסה המתוקנת מוצעת בכולן, אבל בדיקה דומה בשש מדינות בתחילת השבוע החזירה דווקא גרסה בלי התיקון.

למה זה חשוב לכם

רוב האנשים מניחים שעדכון ווינדוס מטפל בכל מה שמותקן על המחשב. לגבי האפליקציות שמגיעות מחנות מיקרוסופט זה לא נכון, ו-Paint היא אחת מהן. היא מותקנת בנפרד לכל חשבון משתמש במחשב, כך שבמחשב משפחתי עם כמה חשבונות אפשר להישאר עם גרסה ישנה באחד מהם גם אחרי שהאחרים התעדכנו.

מיקרוסופט לא פרסמה שום דרך עקיפה לצמצם את הסיכון בלי לעדכן. העדכון הוא הפתרון היחיד שהחברה מציעה.

מה עושים?

פתחו את חנות מיקרוסופט (Microsoft Store), היכנסו ל"ספרייה" או ל"הורדות ועדכונים" ולחצו על קבלת עדכונים. זה מעדכן את Paint יחד עם שאר אפליקציות החנות.

ודאו שהגרסה שהותקנה היא 11.2609.401.0 או גבוהה ממנה. את מספר הגרסה אפשר לראות בדף של Paint בחנות.

אם במחשב יש כמה חשבונות משתמש, חזרו על הבדיקה מכל חשבון בנפרד, כי עדכון בחשבון אחד לא מעדכן את האחרים.

השאירו את העדכון האוטומטי של החנות דלוק. זה המסלול שדרכו התיקון הזה הגיע למחשבים, ולא Windows Update.

ההבדל הזה שווה זכירה גם להמשך: Paint, Notepad וכלי הגזירה מגיעים כולם מהחנות, ולכן התרעה עליהם לא נסגרת בעדכון החודשי של ווינדוס.