Paint: Microsoft corrige falha de execução remota de código pela Store

Falha no Paint pode permitir execução remota de código

A Microsoft disponibilizou uma correção para a CVE-2026-83844, vulnerabilidade que afeta o Paint e pode permitir execução remota de código. A falha recebeu pontuação 8,1 no CVSS e foi classificada como importante. A correção chega pela Microsoft Store; o Windows Update não a instala automaticamente.

O problema envolve leitura de memória fora dos limites, ou out-of-bounds read, e pode permitir a execução de código pela rede. Segundo a Microsoft, explorar a falha exige conhecimento aprofundado do sistema afetado, mas não requer autenticação nem interação do usuário.

Um invasor poderia enviar um pacote especialmente desenvolvido a um serviço vulnerável, cuja identificação não foi divulgada publicamente. A vulnerabilidade foi divulgada em 13 de outubro de 2026; naquela data, não havia registros conhecidos de exploração ativa nem divulgação pública anterior.

Atualização depende da Microsoft Store

A Microsoft identifica a versão 11.2609.401.0 do Paint como corrigida. Uma verificação do The Hacker News em dez países encontrou essa compilação como a mais recente disponível na Store, mas a distribuição variou durante a semana e ainda não havia estimativa de quando chegaria a todos os computadores.

Em uma checagem anterior, Brian Vitko, da RFF, fabricante de software para gerenciamento de dispositivos, encontrou a versão 11.2605.81.0 em seis países; ela ainda era vulnerável. Depois, uma máquina virtual usada nos testes recebeu automaticamente a compilação corrigida pelas atualizações da Store.

Registros divergentes podem afetar scanners

O comunicado de segurança da Microsoft aponta a versão 11.2609.401.0 como corrigida. Já o registro da CVE mantido pela empresa e a entrada correspondente no National Vulnerability Database indicam que apenas versões anteriores à 11.2605.91.0 são afetadas.

Essa diferença pode produzir resultados incorretos em ferramentas automatizadas. Um scanner que consulte somente o registro da CVE pode considerar corrigidas versões iguais ou superiores à 11.2605.91.0, mesmo que elas não correspondam à compilação indicada no comunicado de segurança.

Uma discussão no fórum Microsoft Q&A afirma que, na semana anterior, o comunicado ainda apontava a versão 11.2605.91.0 como corrigida. Apesar da alteração, o histórico de revisões continuava mostrando apenas a publicação original, feita em 13 de outubro, sem registrar a mudança.

Como verificar todas as instalações do Paint

Aplicativos da Microsoft Store podem ter cópias separadas para diferentes contas de usuário, além de uma versão provisionada para novos usuários. Com privilégios administrativos, os dois comandos do PowerShell abaixo ajudam a conferir as instalações por conta e a versão provisionada, evitando limitar a checagem apenas ao usuário conectado.

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }

O primeiro comando lista as versões instaladas para os usuários e as contas associadas a cada pacote. Para consultar a versão provisionada no sistema, que pode ser diferente das cópias vinculadas às contas existentes, execute também:

Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

Se alguma instalação estiver abaixo da versão 11.2609.401.0, a orientação é atualizar o Paint pela Microsoft Store ou aguardar a atualização automática. Em ambientes corporativos, ferramentas como o Microsoft Intune podem verificar atualizações de aplicativos da Store em vários computadores.

Após atualizar, administradores devem repetir as duas consultas e confirmar que todas as instalações identificadas estão na versão corrigida ou em uma posterior. A checagem inclui tanto as cópias por usuário quanto o pacote provisionado, que poderia passar despercebido se a verificação se limitasse à conta conectada.

Microsoft não informou mitigação temporária

O comunicado oficial não apresenta medidas alternativas para reduzir o risco antes da atualização. Brian Vitko sugeriu remover o Paint de computadores em que não fosse necessário, incluindo instalações individuais e a versão provisionada, mas informou que não testou o procedimento.

Até a última verificação relatada pelo The Hacker News, a CVE-2026-83844 não constava no catálogo KEV da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos. Como a falha permite execução remota sem autenticação e a correção não chega pelo Windows Update, administradores precisam verificar as versões nos endpoints.