Microsoft publicó la corrección para CVE-2026-83844, una vulnerabilidad de ejecución remota de código en la aplicación Paint de Windows. La versión corregida es la 11.2609.401.0 y se distribuye únicamente como actualización de la Microsoft Store, no mediante Windows Update. Las organizaciones que solo gestionan parches por Windows Update pueden quedar expuestas aunque sus equipos aparezcan al día.
La falla es una lectura fuera de límites: el programa lee memoria que no le corresponde, lo que puede abrir la puerta a ejecutar código. Microsoft la clasifica como Importante, con una puntuación CVSS de 8.1 (escala de gravedad de 0 a 10). Según el aviso, un atacante podría explotarla enviando un paquete especialmente diseñado a un servicio afectado por la red, sin iniciar sesión ni requerir acción del usuario. Microsoft no identifica ese servicio y advierte que el ataque exige un conocimiento profundo del sistema objetivo. Al publicarse el 13 de octubre, la falla no se conocía como explotada ni divulgada públicamente. Tampoco figuraba en el catálogo KEV de CISA, la agencia de ciberseguridad de Estados Unidos que lista vulnerabilidades explotadas activamente.
Hay una inconsistencia que afecta a los escáneres de vulnerabilidades. El aviso de seguridad indica 11.2609.401.0 como versión corregida, pero el registro CVE y la entrada de NVD solo marcan como afectadas las versiones anteriores a 11.2605.91.0. Un escáner basado en el registro CVE daría por corregido un equipo con 11.2605.91.0, aunque no tenga el parche real. Además, hace pocos días la propia Microsoft citaba 11.2605.91.0 como versión corregida, y el historial del aviso no documenta el cambio. La única versión segura bajo ambos criterios es la 11.2609.401.0 o posterior.
Paint, como otras apps de la Store, se instala por separado para cada cuenta de usuario. Windows también puede guardar una copia aprovisionada, que instala automáticamente a cada usuario nuevo. Revisar solo la cuenta activa puede dejar copias antiguas sin detectar. Brian Vitko, de RFF, propone dos comandos en PowerShell ejecutado como administrador; el primero lista las copias de todos los usuarios y el segundo la copia aprovisionada:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Si alguna copia muestra una versión anterior a 11.2609.401.0, actualice Paint desde la Store o permita la actualización automática. En Intune y otras herramientas de gestión de dispositivos, el escaneo de actualizaciones de apps de la Store aplica el cambio de forma masiva. Después, ejecute de nuevo ambos comandos y confirme que todas las copias muestran 11.2609.401.0 o superior. Microsoft no ofrece mitigaciones alternativas. En equipos donde nadie usa Paint, retirar la aplicación para todos los usuarios y de la copia aprovisionada reduce la exposición, aunque esa medida no ha sido probada formalmente.
Qué significa para tu empresa: Esta semana conviene revisar si la política de actualizaciones incluye las apps de la Microsoft Store, no solo Windows Update. Verifique la versión de Paint en todos los perfiles y en la copia aprovisionada, sin confiar únicamente en el reporte del escáner. En nuestra experiencia, una plataforma de protección de endpoints EDR/XDR bien configurada aporta inventario y visibilidad por equipo, útil para detectar estas brechas de versión antes de que alguien las aproveche.
Fuente original: The Hacker News — ver artículo →