Een kwetsbaarheid in Microsoft Paint (CVE-2026-83844) maakt het mogelijk dat aanvallers op afstand code uitvoeren zonder gebruikersinteractie.
In Microsoft Paint is een beveiligingslek ontdekt dat het uitvoeren van code op afstand mogelijk maakt zonder dat een gebruiker hier interactie voor hoeft te verrichten. De kwetsbaarheid, geregistreerd als CVE-2026-83844, stelt een ongeauthenticeerde aanvaller in staat om met een speciaal geprepareerd pakket schadelijke code op kwetsbare systemen uit te voeren.
Microsoft bracht vorige maand een update uit waarin het lek is verholpen in Microsoft Paint versie 11.2609.401.0. Volgens het beveiligingsbulletin van 13 oktober is een succesvolle aanval afhankelijk van meerdere factoren, zoals systeemconfiguratie, de omgeving en aanvullende beveiligingsmaatregelen. Ook stelt Microsoft dat aanvallers vergaande kennis van het systeem nodig hebben om de kwetsbaarheid effectief te kunnen benutten. De update zou via de Microsoft Store beschikbaar moeten zijn, maar systeembeheerders melden op het forum van Microsoft en op Reddit dat de nieuwste versie niet wordt aangeboden. De versie die momenteel via de Microsoft Store beschikbaar is, dateert van 21 augustus. Daarnaast is Microsoft Paint niet meer via Windows Update te updaten, wat voor extra verwarring zorgt.
Gebruikers wordt geadviseerd om via de Microsoft Store regelmatig te controleren op updates. Via PowerShell kan de geïnstalleerde versie worden gecontroleerd met het commando Get-AppxPackage Microsoft.Paint | Select-Object Name, Version. Volgens berichten van Neowin kan de update gefaseerd worden uitgerold, waardoor niet alle gebruikers direct de gepatchte versie ontvangen.
