Microsoft Paint ma lukę pozwalającą na zdalne wykonanie kodu. Podatność oznaczono jako CVE-2026-83844 i ujawniono 13 października, a w dziesięciostopniowej skali CVSS 3.1 dostała 8,1 pkt, czyli kategorię High (wysoka). Poprawkę zawiera wersja Painta, którą Microsoft wskazuje obecnie w swoim biuletynie bezpieczeństwa: 11.2609.401.0.

Na czym polega luka w Paincie

Technicznie to błąd typu out-of-bounds read (CWE-125), czyli odczyt danych poza obszarem pamięci przydzielonym programowi. Oficjalny opis Microsoftu jest bardzo lakoniczny: błąd w Windows Paint umożliwia nieuprawnionemu napastnikowi wykonanie kodu za pośrednictwem sieci.

Z parametrów CVSS wynika, że wektor ataku jest sieciowy, a do wykorzystania podatności nie są potrzebne żadne uprawnienia w systemie. Jednocześnie Microsoft ocenił złożoność ataku jako wysoką, a 8,1 pkt to kategoria High, nie Critical. To nie jest więc sytuacja, w której dowolny napastnik może banalnie i masowo przejmować komputery tylko dlatego, że mają zainstalowanego Painta.

Microsoft nie przedstawił publicznie szczegółowego łańcucha ataku, więc nie da się opisać jednego konkretnego scenariusza infekcji — dostępne informacje potwierdzają samą możliwość zdalnego wykonania kodu i wysoką ocenę zagrożenia. Nie dają też podstaw do twierdzenia, że Paint zachowuje się jak usługa wystawiona do internetu i czekająca na spreparowany pakiet. Sprawa pokazuje natomiast, że podatność może tkwić również w niepozornej aplikacji przetwarzającej pliki dostarczone z zewnątrz, a nie tylko w przeglądarce czy usłudze działającej w tle.

Skąd zamieszanie z numerem wersji

Dokumentacja Microsoftu początkowo wskazywała jako załatane wydanie Paint 11.2605.91.0. Użytkownicy i administratorzy zgłaszali jednak, że tej kompilacji nie da się pobrać — Microsoft Store na części komputerów nadal dostarczał wcześniejszą wersję 11.2605.81.0. Dopiero później w MSRC, czyli bazie biuletynów bezpieczeństwa Microsoftu, jako poprawioną zaczęto wskazywać wersję 11.2609.401.0.

Przy domowym komputerze to przede wszystkim irytacja. W firmie zarządzającej setkami albo tysiącami urządzeń komunikat „aplikacje są aktualne”, który nie daje administratorowi pewności, czy zainstalowano wydanie usuwające lukę, jest problemem sam w sobie — numer wersji w biuletynie służy właśnie do ustalenia, czy dany komputer jest jeszcze podatny.

Co zrobić

  1. Zaktualizuj aplikacje pobrane z Microsoft Store — Paint jest dostarczany tą drogą, niezależnie od aktualizacji samego Windowsa.
  2. Sprawdź, jaką wersję Painta masz, i porównaj ją z numerem wskazywanym przez Microsoft jako załatany: 11.2609.401.0.
  3. Jeśli widzisz 11.2605.81.0, poprawki na komputerze jeszcze nie ma.

Microsoft nie podał w biuletynie ścieżki do sprawdzenia wersji aplikacji, więc numer trzeba odczytać tam, gdzie Store pokazuje szczegóły zainstalowanego Painta.

Aktualizacji aplikacji z Microsoft Store nie warto odkładać tylko dlatego, że chodzi o Paint.