MS Paint 存在远程代码执行漏洞
推荐指数 50.0 NO. 020 · 2026.11.06
发布2026/11/05Score205Comments52
简介
微软画图程序 MS Paint 被披露存在远程代码执行（RCE）漏洞，攻击者可通过构造恶意文件触发。AI 工程师需注意：处理用户上传图像的 AI 管线（如自动标注、预处理流水线）若依赖系统级图像解析，可能成为攻击面。
编辑判断
这个漏洞的深层风险不在 Paint 本身，而在于很多 AI 训练/推理 pipeline 底层调用的图像解析库和系统组件存在共享依赖。做 MLOps 的团队经常直接用 Pillow、OpenCV 处理用户上传数据，但如果部署环境是 Windows Server 且未隔离，恶意图片可能借系统解析链逃逸容器。
建议立刻检查两点：生产环境是否禁用了不必要的 Windows 图形组件，以及图像预处理是否跑在 non-root、无网络访问的 sandbox 里。CV 方向的创业团队尤其容易忽略这个攻击面，因为大家默认图片是被动数据而非可执行载体。
社区反馈
意见分歧 43 条评论
核心争论：MS Paint 无用户交互的远程代码执行漏洞是否属实，攻击向量究竟为何
Wow! At first sight I was sure it was a joke, but no. What a time... https://msrc.microsoft.com/update-guide/vulnerability/CVE-20...
Presumably this is like many other graphics tool vulnerabilities this works by the attacker persuading a user to open a file that exercises the bug. Not terribly unusual.
I don't think so: > User Interaction: None > Out-of-bounds read in Windows Paint allows an unauthorized attacker to execute code over a network.