Uma correção para a falha CVE-2026-83844 (sigla de Common Vulnerabilities and Exposures, sistema padrão de identificação de vulnerabilidades), uma falha de execução remota de código (RCE, sigla de remote code execution) no Microsoft Paint, já está disponível na Microsoft Store. O aplicativo recebe essa correção somente por meio de atualização da Store, e não pelo Windows Update.
A versão corrigida, 11.2609.401.0, era a mais recente do Paint em todos os dez países que o The Hacker News verificou nesta data.
A falha é uma leitura fora dos limites da memória (out-of-bounds read), que poderia permitir que um atacante executasse código pela rede. A Microsoft classifica o problema como "Importante", com pontuação de 8,1 no CVSS (sistema de pontuação de severidade de vulnerabilidades), e afirma que um ataque bem-sucedido exigiria um profundo conhecimento do sistema-alvo. A empresa publicou a falha em 13 de outubro, e, naquele momento, não havia registro de que ela estivesse sendo explorada nem de que tivesse sido divulgada publicamente.
Brian Vitko, da RFF, fabricante de software de gerenciamento de dispositivos, verificou no início desta semana quais versões do Paint a Store oferecia em seis países. Ele constatou que a mais recente em cada um deles era a 11.2605.81.0, versão sem a correção.
A máquina virtual de teste dele passou depois, por conta própria, para a versão corrigida, por meio da atualização automática da Store. Trata-se de um único equipamento, e ainda não está claro com que rapidez os demais computadores receberão essa versão.
Qual versão é considerada corrigida
O comunicado de segurança da Microsoft indica a versão 11.2609.401.0 como a corrigida. O registro da CVE, que a empresa também publica, ainda lista o Paint como afetado apenas em versões anteriores à 11.2605.91.0. A entrada no NVD (Banco Nacional de Vulnerabilidades dos Estados Unidos) mostra o mesmo intervalo.
Assim, um scanner que utilize o registro da CVE trataria qualquer versão a partir da 11.2605.91.0 como corrigida. Já uma cópia na versão 11.2609.401.0 ou superior atende aos dois critérios.
Na semana passada, segundo uma pergunta publicada no fórum da Microsoft Q&A, o comunicado indicava a versão 11.2605.91.0 como a corrigida. O histórico de revisões do comunicado ainda mostra apenas a entrada de 13 de outubro, sem nenhuma nota sobre a mudança.
Como verificar todas as cópias do Paint
O Paint, como outros aplicativos da Store, é instalado separadamente para cada conta de usuário em um computador. O Windows também pode manter uma cópia provisionada, que é instalada para cada novo usuário. Verificar apenas a conta conectada pode deixar passar cópias mais antigas.
O relato de testes de Vitko traz dois comandos para serem executados em uma janela do PowerShell aberta como administrador. O primeiro lista a cópia do Paint de cada usuário, e o segundo lista a cópia provisionada.
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Para qualquer cópia abaixo da versão 11.2609.401.0:
- Atualize o Paint pela Store ou aguarde a atualização automática instalar a versão corrigida. No Intune e em outras ferramentas de gerenciamento de dispositivos, a verificação de atualizações de aplicativos da Store faz isso em vários computadores ao mesmo tempo.
- Execute os dois comandos novamente e confirme se todas as cópias mostram a versão 11.2609.401.0 ou superior.
O comunicado não traz nenhuma solução alternativa ou medida de mitigação. Antes de a correção chegar à Store, Vitko sugeriu remover o Paint dos locais em que ninguém precisa dele, para todos os usuários e também da cópia provisionada. Ele não testou essa etapa.
Condições de ataque e status de exploração
Segundo o comunicado, um invasor poderia explorar a falha enviando "um pacote especialmente elaborado para um serviço afetado pela rede", mas o documento não identifica o serviço. O ataque não exigiria login nem qualquer ação do usuário.
A falha não constava no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, sigla de Known Exploited Vulnerabilities), mantido pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA), no momento em que o The Hacker News fez a verificação nesta data. O catálogo foi atualizado pela última vez no início desta semana.
