CZ 轉發 Windows 小畫家漏洞警告：系統級漏洞要立即更新

幣安創辦人趙長鵬（CZ）今天轉發 Windows 小畫家漏洞 CVE-2026-83844 警告，呼籲立即更新作業系統。這個漏洞 CVSS 評分 8.1，微軟 11 月 6 日改版公告，修補版本改為 11.2609.401.0，微軟標示目前未遭利用。
（前情提要：慢霧警告：iPhone 惡意程式「DarkSword」已武器化上線，開網頁就可能被盜加密助記詞）
（背景補充：Linux 伺服器十年老漏洞曝光：密碼亂打一長串就能登入，修補已推出）

幣安創辦人趙長鵬（CZ）11 月 7 日下午 3 時 19 分（台灣時間）在 X 引用轉發一則資安警告。警告內容是 Windows 小畫家（Microsoft Paint）的遠端程式碼執行漏洞。他寫道「應用程式無法保護你免於作業系統漏洞的威脅，請立即更新作業系統。」（原文：Apps can’t protect you from OS vulnerabilities. Update your OS immediately.）

Apps can't protect you from OS vulnerabilities. Update your OS immediately. https://t.co/B7NisFEhQe

— CZ 🔶 BNB (@cz_binance) November 7, 2026

被轉發的是追蹤網路犯罪動態的資安帳號 Dark Web Informer 在台灣時間 11 月 6 日清晨發出的貼文。貼文指出，這個漏洞編號 CVE-2026-83844，CVSS 評分 8.1，受影響的是 11.2605.91.0 之前的版本。貼文也稱，未經驗證的攻擊者不需使用者操作，就能遠端執行惡意程式碼。

微軟改版公告，修補版本改為 11.2609.401.0

依微軟安全回應中心（MSRC）資料，這個漏洞在 10 月 13 日（美國時間）首次公布，當天是微軟每月例行的安全更新日。弱點類型是越界讀取（CWE-125），指程式讀取了超出配置範圍的記憶體內容。CVSS 是業界通用的漏洞評分，滿分 10 分，8.1 分屬於「高」風險等級。

MSRC 在 11 月 6 日（美國時間）更新公告。微軟表示，要完整修補這個漏洞，小畫家須更新到 11.2609.401.0 版。CVE 紀錄同一天跟著修改，受影響範圍改為低於 11.2609.401.0 的所有版本。Dark Web Informer 引用的 11.2605.91.0 也包含在內。MSRC 列出的更新管道只有 Microsoft Store。微軟建議使用者安裝新版，或確認已自動更新。

不需使用者操作，攻擊複雜度列為高

CVSS 向量顯示，這個漏洞可以從網路發動（AV:N）。攻擊者不需要任何權限（PR:N），也不需要使用者操作（UI:N）。MSRC 常見問題說明，未經驗證的攻擊者可透過網路，對受影響的服務傳送特製封包。成功利用可能讓攻擊者在目標系統上執行程式碼。

攻擊複雜度則列為「高」（AC:H）。MSRC 解釋，攻擊者必須深入了解目標系統，能否成功也取決於環境、系統設定與其他防護措施。微軟給的嚴重性評級是「重要」，比 Dark Web Informer 標題寫的「重大」（Critical）低一級，並評估這個漏洞「較不可能被利用」。

CZ 連日提醒更新系統

11 月 5 日起，CZ 在 X 至少四度提醒用戶更新系統或套用修補。11 月 5 日，他轉發慢霧（SlowMist）的 iPhone 惡意程式 DarkSword 警報，寫下「保持 iOS 在最新版本。」（Keep your iOS up-to-date.）隔天他又寫道「沒有錢包軟體能替你更新作業系統，自我託管就是自我負責。」（No wallet software can update your OS. Self-custody means self responsibility.）

📍相關報導📍

CZ：沒有錢包 100% 安全！PHP 漏洞、Railway 遭駭接連爆發，幣安急表態

iPhone 開 Safari 就被盜！iOS 爆 DarkSword 漏洞洗劫加密錢包，CertiK 示警：速更新系統

UEFI 韌體爆 CVSS 9.5 遠端程式碼執行漏洞！全球多數伺服器韌體中招