ช่องโหว่ Paint ใน Windows 11 ไม่ได้แก้ผ่าน Windows Update ต้องอัปเดตเองจาก Microsoft Store

คุณอาจกด Windows Update ครบทุกตัว รีสตาร์ตเรียบร้อย แต่ Paint โปรแกรมวาดรูปที่มากับ Windows 11 อาจยังเป็นรุ่นที่มีช่องโหว่อยู่ เพราะแพตช์ของ Paint ไม่ได้มาทางนั้น Microsoft ประกาศช่องโหว่นี้พร้อมแพตช์ประจำเดือนตุลาคม และระบุว่าตัวแก้มาทาง Microsoft Store เท่านั้น ส่วนรุ่นที่แก้แล้วเพิ่งขึ้น Store จริงเมื่อ 5–6 พ.ย. 2026

เรื่องนี้คล้ายการเอารถเข้าศูนย์เช็กระยะ ช่างเช็กเครื่องยนต์ เบรก และยางครบ แต่จอเครื่องเสียงในรถต้องอัปเดตผ่านอีกช่องทางหนึ่ง Windows Update ดูแลตัวระบบ ส่วนแอปที่ติดมากับเครื่องหลายตัว เช่น Paint อัปเดตผ่าน Store แยกกัน ภาพเปรียบนี้ใช้ได้ถึงแค่จุดหนึ่ง เพราะ Store ปกติจะอัปเดตแอปให้เองโดยไม่ต้องไปที่ไหน ปัญหาคือรอบนี้ตัวแก้มาถึง Store ช้ากว่าประกาศหลายสัปดาห์ เครื่องที่รอให้อัปเดตเองจึงยังไม่ได้อะไร

ช่องโหว่นี้ Microsoft ให้ระดับ Important ซึ่งต่ำกว่าระดับสูงสุด (Critical) หนึ่งขั้น และให้คะแนนความรุนแรง 8.1 จาก 10 แต่ระบุว่าการโจมตีให้สำเร็จต้องอาศัย "ความเข้าใจระบบอย่างลึกซึ้ง" และไม่รับประกันว่าจะได้ผล ตอนประกาศยังไม่พบการโจมตีจริงและไม่มีใครเปิดเผยวิธีโจมตี จึงไม่ใช่เรื่องที่ต้องรีบทิ้งงานไปแก้ แต่ควรอัปเดตเมื่อสะดวก

ที่ทำให้เรื่องนี้น่าสนใจคือความสับสนเรื่องเลขรุ่น ช่วงปลายเดือนตุลาคม ประกาศของ Microsoft ระบุรุ่นที่แก้แล้วเป็นเลขหนึ่ง แต่ต่อมาเปลี่ยนเป็นอีกเลขหนึ่งโดยไม่อธิบายว่าเพราะอะไร ระหว่างนั้นผู้ดูแลระบบหลายคนหาอัปเดตใน Store ไม่เจอเลย ตอนนี้ตัวแก้มีแล้ว ReadEval ตรวจข้อมูลของ Store ตลาดไทยเมื่อ 7 พ.ย. ก็พบรุ่นที่แก้แล้วเช่นกัน

สิ่งที่คุณควรทำใช้เวลาไม่ถึงนาที คือเปิด Paint ดูเลขรุ่น แล้วเข้า Microsoft Store สั่งอัปเดต ด้านล่างมีเลขรุ่นที่ต้องได้ ขั้นตอนเช็กทั้งในแอปและด้วยคำสั่ง PowerShell สำหรับคนดูแลหลายเครื่อง ไทม์ไลน์ของเลขรุ่นที่เปลี่ยนไป และเรื่องที่ยังไม่มีใครยืนยัน เช่น Windows 10

สรุปประเด็นสำคัญ

• ช่องโหว่: CVE-2026-83844 "Windows Paint Remote Code Execution Vulnerability" เป็นบั๊กอ่านข้อมูลเกินขอบเขต (out-of-bounds read) ที่ Microsoft ระบุว่าทำให้ผู้โจมตีรันโค้ดผ่านเครือข่ายได้ ระดับ Important คะแนน CVSS 8.1
• ยังไม่ถูกโจมตี: Microsoft ระบุว่ายังไม่มีการโจมตีจริง ไม่มีการเปิดเผยต่อสาธารณะ และประเมินว่า "มีโอกาสถูกโจมตีน้อย" (Exploitation Less Likely)
• ตัวแก้มาทาง Store เท่านั้น: แพตช์ Windows ประจำเดือนตุลาคมไม่ได้แก้ Paint ต้องได้ Paint รุ่น 11.2609.401.0 ขึ้นไป จาก Microsoft Store
• เลขรุ่นเคยเปลี่ยน: ประกาศเคยระบุ 11.2605.91.0 ซึ่งไม่มีใน Store แล้วเปลี่ยนเป็น 11.2609.401.0 บันทึกแก้ไขที่เพิ่มเมื่อ 6 พ.ย. ไม่ได้บอกว่าเลขเดิมเปลี่ยนเพราะอะไร
• ในไทย: ข้อมูลแค็ตตาล็อก Store ตลาดไทยที่ ReadEval ตรวจเมื่อ 7 พ.ย. 2026 มีแพ็กเกจรุ่น 11.2609.401.0 แล้ว แต่ยังไม่ได้ทดสอบบนเครื่องจริงในไทย
• Windows 10: Microsoft ไม่ได้ระบุว่า Windows 10 ได้รับผลกระทบหรือไม่

ช่องโหว่นี้คืออะไร

ประกาศของ Microsoft Security Response Center (MSRC) ลงวันที่ 13 ต.ค. 2026 อธิบายสั้น ๆ ว่า "การอ่านข้อมูลเกินขอบเขตใน Windows Paint ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตรันโค้ดผ่านเครือข่ายได้" และตอบคำถามว่าโจมตีอย่างไรไว้ว่า

ผู้โจมตีที่ไม่ได้ยืนยันตัวตนอาจใช้ช่องโหว่นี้โดยส่งแพ็กเก็ตที่สร้างขึ้นเป็นพิเศษไปยังบริการ (service) ที่ได้รับผลกระทบผ่านเครือข่าย ... ไม่ต้องยืนยันตัวตนหรือให้ผู้ใช้ทำอะไร

คำอธิบายนี้กว้างมากสำหรับแอปวาดรูป Microsoft ไม่ได้บอกว่า "บริการ" ที่ว่าคืออะไร หรือ Paint ต้องเปิดอยู่หรือไม่ The Hacker News ก็ตั้งข้อสังเกตเดียวกันว่าประกาศไม่ได้ระบุชื่อบริการ ReadEval จึงไม่อธิบายเส้นทางโจมตีเกินกว่าที่ Microsoft เขียนไว้

Windows Latest เรียกบั๊กนี้ว่าแบบ "ไม่ต้องคลิก" (no-click) เพราะประกาศระบุว่าไม่ต้องให้ผู้ใช้ทำอะไร แต่ส่วนเดียวกันของประกาศก็บอกว่าความซับซ้อนในการโจมตีสูง (AC:H) ผู้โจมตีต้อง "เข้าใจระบบอย่างลึกซึ้ง" และความสำเร็จ "ไม่รับประกัน ขึ้นกับสภาพแวดล้อม การตั้งค่าระบบ และมาตรการความปลอดภัยอื่น"

ที่มา: MSRC และบันทึก CVE-2026-83844 (อัปเดต 6 พ.ย. 2026)

The Hacker News ตรวจรายการช่องโหว่ที่ถูกโจมตีจริงของหน่วยงานความมั่นคงไซเบอร์สหรัฐฯ (CISA KEV) แล้วไม่พบช่องโหว่นี้ และ NVD ของสหรัฐฯ บันทึกการประเมินของ CISA ว่าการโจมตี "ยังไม่มี" (exploitation: none)

ทำไม Windows Update ไม่แก้ให้

Paint ใน Windows 11 เป็นแอปที่อัปเดตผ่าน Microsoft Store แยกจากตัวระบบ หน้าประกาศของ MSRC ระบุช่องทางแก้เป็น "Store App" และลิงก์ไปหน้า Paint ใน Store ไม่ใช่เลข KB ของ Windows Update แบบช่องโหว่ Windows ทั่วไป Windows Latest จึงย้ำว่าแพตช์ Windows 11 ประจำเดือนตุลาคม 2026 ไม่ได้แก้ Paint และเครื่องที่ Windows อัปเดตครบก็ยังมี Paint รุ่นเก่าได้

Store ตั้งค่าให้อัปเดตแอปเองเป็นค่าเริ่มต้น หน้าช่วยเหลือของ Microsoft ระบุว่าตัวเลือกปิดการอัปเดตอัตโนมัติ "ถูกแทนที่ด้วยตัวเลือกหยุดชั่วคราว" นาน 1–5 สัปดาห์ แต่การอัปเดตเองก็ไม่ได้แปลว่าได้ทันที ผู้เขียน Windows Latest เปิดอัปเดตอัตโนมัติไว้ แต่ Paint ในเครื่องยังเป็นรุ่น 11.2603.251.0 และเมื่อเข้า Store ก็ไม่พบอัปเดต ซึ่งตอนนั้น (5 พ.ย.) ตัวแก้อาจยังไม่ขึ้น Store ทุกที่

ข่าว แพตช์ Windows เดือนตุลาคม เล่าภาพรวมของแพตช์รอบเดียวกันที่มาทาง Windows Update ช่องโหว่ใน Paint ประกาศในรอบเดียวกัน (MSRC จัดไว้ในรอบเดือนตุลาคม 2026) แต่การติดตั้งแพตช์รอบนั้นครบไม่ได้ทำให้ Paint ได้ตัวแก้ไปด้วย

เลขรุ่นที่แก้แล้วเปลี่ยนไปอย่างไร

The Hacker News รายงานว่า กระทู้ใน Microsoft Q&A แสดงว่าประกาศของ Microsoft ยังระบุรุ่นที่แก้แล้วเป็น 11.2605.91.0 อย่างน้อยจนถึงสัปดาห์สุดท้ายของเดือนตุลาคม ขณะที่ Brian Vitko จาก RFF ตรวจ Store ใน 6 ประเทศช่วงต้นสัปดาห์ พบรุ่นล่าสุดเป็น 11.2605.81.0 ซึ่งยังไม่มีตัวแก้ ต่อมาประกาศเปลี่ยนเป็น 11.2609.401.0 และตอนที่ The Hacker News เขียน (6 พ.ย.) ประวัติการแก้ไขของประกาศมีแค่รายการวันที่ 13 ต.ค. ไม่มีบันทึกว่าเปลี่ยนเลข

เมื่อ ReadEval ตรวจข้อมูลของ MSRC ในวันที่ 7 พ.ย. พบว่ามีบันทึกแก้ไขครั้งที่ 2 ลงวันที่ 6 พ.ย. แล้ว เขียนว่า "เพื่อแก้ช่องโหว่ตาม CVE นี้อย่างครบถ้วน Microsoft ได้ออก Paint รุ่นใหม่ หมายเลข 11.2609.401.0 และแนะนำให้ติดตั้งรุ่นใหม่นี้หรือตรวจว่าเครื่องอัปเดตให้เองแล้ว" บันทึกนี้ยืนยันเลขใหม่ แต่ไม่ได้บอกว่าเลข 11.2605.91.0 เปลี่ยนเพราะอะไร บันทึก CVE และ NVD ก็อัปเดตเป็น 11.2609.401.0 ในวันเดียวกัน ส่วนในรายชื่อแพ็กเกจของ Paint ใน Store ที่ ReadEval ตรวจ ไม่มีรุ่น 11.2605.91.0 อยู่เลย มีแต่ 11.2605.81.0 แล้วข้ามไป 11.2609.401.0

หน้าบันทึกการเปลี่ยนแปลงของ Paint (สำหรับผู้ทดสอบ Windows Insider) ระบุว่ารุ่น 11.2609.401.0 เริ่มทยอยปล่อยเมื่อ 6 พ.ย. 2026 พร้อมรายการปรับปรุงอย่างโหลดรูปเร็วขึ้น และเปิดไฟล์ที่เสียแล้วแสดงข้อความแจ้งแทนการปิดแอป แต่ไม่ได้พูดถึงช่องโหว่ความปลอดภัย

เช็กอย่างไรว่า Paint ในเครื่องแก้แล้ว

เลขที่ต้องได้คือ 11.2609.401.0 หรือสูงกว่า เลขรุ่นของ Paint อ่านทีละช่องจากซ้าย เช่น 11.2609 ใหม่กว่า 11.2605 และ 11.2603

วิธีที่ 1: ดูในตัวแอป

1. เปิด Paint
2. กดไอคอนรูปเฟือง (Settings) มุมขวาบนของหน้าต่าง
3. เลื่อนลงไปดูหัวข้อ About Paint จะเห็นเลขรุ่นของแอป

Windows Latest ตรวจเลขรุ่นจากหน้า Settings ของแอปแบบนี้ ชื่อเมนูอาจต่างกันเล็กน้อยตามรุ่นของ Paint

วิธีที่ 2: ใช้ PowerShell (คำสั่งจาก Windows Latest)

Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

ถ้าดูแลหลายบัญชีหรือหลายเครื่อง The Hacker News แนะนำให้เปิด PowerShell แบบผู้ดูแลระบบ (Run as administrator) แล้วตรวจทั้ง Paint ของผู้ใช้ทุกคน และ Paint ที่เตรียมไว้ติดตั้งให้บัญชีใหม่ (provisioned)

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

ทุกบรรทัดที่ได้ควรเป็น 11.2609.401.0 ขึ้นไป องค์กรที่ใช้ Intune หรือเครื่องมือคล้ายกันให้สั่งสแกนอัปเดตแอปจาก Store แล้วรันคำสั่งซ้ำเพื่อยืนยัน

อัปเดต Paint ผ่าน Microsoft Store

ตามหน้าช่วยเหลือของ Microsoft เรื่องการอัปเดตแอปใน Store

1. เปิดแอป Microsoft Store
2. ไปที่ Library (ใน Store รุ่นใหม่ ส่วนนี้อาจอยู่ในหน้า Downloads ที่แถบด้านซ้าย)
3. กด Get updates แล้วรอให้ Paint อยู่ในรายการที่ดาวน์โหลด
4. กลับไปเช็กเลขรุ่นตามวิธีด้านบนอีกครั้ง

ถ้าเคยกดหยุดอัปเดตแอปไว้ Microsoft ระบุว่ายังเช็กและติดตั้งอัปเดตจาก Downloads หรือ Library ได้แม้ระหว่างหยุดอยู่ หรือดูการตั้งค่าได้ที่ รูปโปรไฟล์ > Store Settings > App updates ถ้าไม่เห็นตัวเลือกนี้ Microsoft บอกว่าฝ่ายไอทีอาจคุมการอัปเดตแอปของเครื่องอยู่ ถ้าเป็นคอมบริษัทให้แจ้งฝ่ายไอที

ประกาศของ Microsoft ไม่มีวิธีบรรเทาชั่วคราว (workaround) Brian Vitko แนะนำว่าเครื่องที่ไม่มีใครใช้ Paint อาจถอนการติดตั้ง Paint ออกจากทุกบัญชีและจากแพ็กเกจที่เตรียมไว้ แต่เขาบอกเองว่ายังไม่ได้ทดสอบขั้นตอนนี้ คนใช้ที่บ้านอัปเดตผ่าน Store ก็เพียงพอ

ใช้ Windows 10 อยู่ ต้องทำอะไรไหม

ยังไม่มีใครยืนยัน ประกาศของ Microsoft ระบุผลิตภัณฑ์ที่ได้รับผลกระทบเป็น "Microsoft Paint" รุ่น 11.x โดยไม่ระบุว่าเป็น Windows รุ่นไหน ทั้ง The Hacker News และ Windows Latest ก็ไม่ได้พูดถึง Windows 10 ข้อมูลแพ็กเกจของ Paint ใน Store ที่ ReadEval ตรวจระบุว่าต้องใช้ Windows รุ่น 10.0.22000 ขึ้นไป ซึ่งตามหน้าข้อมูลของ Microsoft คือเลขบิลด์ของ Windows 11 รุ่นแรก (21H2) แต่ข้อมูลนี้บอกได้แค่ว่าแพ็กเกจที่แก้แล้วออกมาสำหรับ Windows 11 ไม่ได้บอกว่า Paint บน Windows 10 ปลอดภัยหรือไม่

ถ้าใช้ Windows 10 ลองเช็กด้วยคำสั่ง PowerShell ด้านบน ถ้าคำสั่งแสดงเลขรุ่น 11.x ที่ต่ำกว่า 11.2609.401.0 ให้ลองอัปเดตผ่าน Store แบบเดียวกัน

แหล่งข่าวต่างกันตรงไหน

• มีตัวแก้ใน Store หรือยัง: Windows Latest (5 พ.ย.) เขียนว่าหาอัปเดตไม่เจอ และไม่แน่ใจว่า Store มีบั๊กหรือ Microsoft ระบุเลขรุ่นที่ไม่มีอยู่จริง The Hacker News (6 พ.ย.) พบรุ่น 11.2609.401.0 ใน Store ครบทั้ง 10 ประเทศที่ตรวจ ข้อมูลแค็ตตาล็อก Store ระบุว่าแก้ไขล่าสุดเมื่อ 5 พ.ย. 2026 เวลาประมาณ 17:00 น. UTC ReadEval จึงเชื่อว่าทั้งสองแหล่งถูกในเวลาที่เขียน ตัวแก้เพิ่งขึ้นช่วงนั้นพอดี
• บันทึกแก้ไขของประกาศ: The Hacker News เขียนว่าประกาศไม่มีบันทึกเรื่องเลขรุ่นที่เปลี่ยน แต่ข้อมูลของ MSRC ที่ ReadEval ตรวจวันที่ 7 พ.ย. มีบันทึกครั้งที่ 2 ลงวันที่ 6 พ.ย. แล้ว ซึ่งน่าจะเพิ่มหลังบทความ The Hacker News ออก บันทึกนี้ยืนยันเลข 11.2609.401.0 แต่ยังไม่อธิบายว่าทำไมเลขเดิมเปลี่ยน
• ปล่อยให้ใคร: หน้าบันทึกการเปลี่ยนแปลงของ Paint เขียนว่ารุ่น 11.2609.401.0 ทยอยปล่อย "ให้ทุกช่องทางของ Windows Insider" แต่ Store ทั่วไปทั้งของสหรัฐฯ และไทยก็มีรุ่นนี้ และเครื่องทดสอบของ Vitko ก็อัปเดตเป็นรุ่นนี้เองผ่าน Store ReadEval ยึดประกาศของ MSRC ที่แนะนำให้ทุกคนติดตั้ง
• เร็วแค่ไหน: การทดสอบของ Vitko เป็นเครื่องเดียว The Hacker News ระบุว่ายังไม่ชัดว่าเครื่องอื่นจะได้อัปเดตอัตโนมัติเร็วแค่ไหน การกด Get updates เองจึงแน่นอนกว่า