Een kritieke remote code execution-kwetsbaarheid in Microsoft Paint is verholpen via een update in de Microsoft Store, maar niet via Windows Update.
Microsoft heeft een oplossing beschikbaar gesteld voor CVE-2026-83844, een kwetsbaarheid in Windows Paint die remote code execution mogelijk maakt. Deze fix is alleen via een update in de Microsoft Store beschikbaar en wordt niet verspreid via reguliere Windows-updates. De nieuwste versie met de oplossing is build 11.2609.401.0, die recent in tien landen is gecontroleerd.
De kwetsbaarheid betreft een out-of-bounds read die een aanvaller in staat kan stellen om code op afstand uit te voeren via het netwerk. Microsoft classificeert de kwetsbaarheid als belangrijk met een CVSS-score van 8.1, waarbij een succesvolle aanval diepgaande kennis van het doelwit vereist. Bij publicatie op 13 oktober was er geen bekend misbruik of publieke onthulling van de fout.
Brian Vitko van RFF onderzocht recent welke Paint-versies via de Store werden aangeboden in zes landen en constateerde dat de nieuwste beschikbare build toen 11.2605.81.0 was, zonder de fix. Zijn testmachine is inmiddels automatisch bijgewerkt naar de gefixeerde versie via de Store. Hoe snel andere systemen deze update ontvangen, is nog onduidelijk.
Microsofts security advisory noemt build 11.2609.401.0 als de gefixeerde versie, terwijl het CVE- en NVD-entry Paint alleen als kwetsbaar beschouwen onder versie 11.2605.91.0. Scanner-tools die op basis van deze gegevens werken, zullen versies vanaf 11.2605.91.0 als veilig beschouwen. Recent was in een forumvraag te lezen dat de advisering nog 11.2605.91.0 als fix vermeldde, zonder dat de revisiegeschiedenis van de advisory dit reflecteert.
Omdat Paint per gebruikersaccount geïnstalleerd wordt en Windows ook een provisioned copy voor nieuwe gebruikers kan bevatten, adviseert Vitko om met PowerShell-commando's alle geïnstalleerde versies te controleren. Voor elke versie onder 11.2609.401.0 geldt dat deze via de Store moet worden bijgewerkt of automatisch geüpdatet moet worden. Er is geen workaround of mitigatie beschikbaar, behalve het verwijderen van Paint waar het niet nodig is, wat Vitko suggereert maar niet getest heeft.
De kwetsbaarheid kan worden misbruikt door een speciaal geprepareerd netwerkpakket naar een kwetsbare service te sturen, zonder dat aanmelding of gebruikersinteractie nodig is. De kwetsbaarheid staat niet in de lijst van bekende misbruikte kwetsbaarheden van de Amerikaanse Cybersecurity and Infrastructure Security Agency.
