CVE-2026-83844
CVSS 8.1 HIGH: out-of-bounds read in Windows Paint allows an unauthorized attacker to execute code over a network. Patch Microsoft: Store App.
Vulnerabilità ed exploit
Microsoft ha corretto in Paint la CVE-2026-83844, una vulnerabilità di lettura fuori dai limiti che può consentire l’esecuzione di codice. La build corretta, 11.2609.401.0, si ottiene solo dal Microsoft Store: Windows Update non distribuisce la patch.
Controllare soltanto l’account attivo può non bastare: Paint è installato separatamente per ciascun utente e Windows conserva anche una copia predisposta per i nuovi account. L’advisory Microsoft indica come corretta la versione 11.2609.401.0, ma il record CVE riporta una soglia inferiore, 11.2605.91.0. Una scansione basata su quel record può quindi considerare risolta una copia che non ha la build corretta. The Hacker News ha rilevato disponibilità diverse del pacchetto nei Paesi controllati nel corso della settimana.
Il risultato possibile è una falsa conferma di remediation: un dispositivo può sembrare aggiornato pur conservando una copia di Paint vulnerabile, anche dopo un controllo di Windows Update o una scansione automatica.
2 fonti · 8 ore fa
CVSS 8.1 HIGH: out-of-bounds read in Windows Paint allows an unauthorized attacker to execute code over a network. Patch Microsoft: Store App.
The Hacker News
Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It
Microsoft Store now offers Paint 11.2609.401.0 to fix CVE-2026-83844, an RCE flaw; Windows Update does not deliver the fix.
originaleNCSC-NL Advisories
Kwetsbaarheid verholpen in Windows Paint van Microsoft
Microsoft heeft een kwetsbaarheid verholpen in Windows Paint.
originaleRiepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-11-06
Every edition of this story: La correzione di Paint sfugge ai controlli di Windows Update