Correção do Paint sai só pela Microsoft Store, não pelo Windows Update
O Paint do Windows tem a falha CVE-2026-83844, uma leitura fora dos limites que permite a atacante não autenticado executar código pela rede sem interação do usuário (CVSS 8.1). A correção existe, mas chega apenas pela Microsoft Store, não pelo Windows Update; o build corrigido 11.2609.401.0 já era o mais recente em dez países verificados pelo The Hacker News. Não há relatos confirmados de exploração ativa; atualize o Paint pela loja.
O que aconteceu
A Microsoft corrigiu a falha CVE-2026-83844 no Paint do Windows, que permitia a um atacante não autenticado executar código pela rede, sem interação do usuário. A correção, porém, chega apenas pela Microsoft Store, não pelo Windows Update. O build corrigido é o 11.2609.401.0, já o mais recente em dez países verificados.
Por que importa
Qualquer empresa com Windows pode ter máquinas com versões antigas do Paint expostas à execução remota de código, com nota CVSS 8.1. Como o Windows Update não entrega a correção, computadores que dependem só desse canal permanecem vulneráveis sem que a equipe perceba. Não há relatos confirmados de exploração ativa, segundo o DarkWebInformer.
O que fazer
Atualize o Paint pela Microsoft Store em todos os computadores com Windows e confirme que o build instalado é o 11.2609.401.0 ou superior. Inclua aplicativos da Store no processo normal de atualização, não apenas o Windows Update.
Para o time técnico
- CVE
- CVE-2026-83844
- Afetados
- Microsoft Paint do Windows · Versões do Microsoft Paint anteriores a 11.2605.91.0, segundo o DarkWebInformer.
- Exploração
- Sem relatos confirmados de exploração ativa, segundo o DarkWebInformer. Nenhuma PoC pública citada nas fontes.
- Correção
- Build 11.2609.401.0, distribuído apenas pela Microsoft Store, não pelo Windows Update (The Hacker News). A Microsoft listou inicialmente o 11.2605.91.0 como versão corrigida (The_Cyber_News, DarkWebInformer).
- Vetor
- Componente: Paint do Windows. Tipo de falha: leitura fora dos limites (out-of-bounds read). Condição: atacante não autenticado executa código pela rede, sem interação do usuário; compromete confidencialidade, integridade e disponibilidade, segundo o DarkWebInformer.
- Mais detalhes
- CVSS 8.1, High (Pirat_Nation, DarkWebInformer). A Microsoft publicou aviso de segurança e correção. Administradores relataram que a Store continuava oferecendo o 11.2605.81.0 mesmo após verificações de atualização e ações sobre o cache da Store (The_Cyber_News). O The Hacker News verificou dez países e o 11.2609.401.0 era o build mais recente em todos.
Linha do tempo
A correção chega somente pela Microsoft Store, não pelo Windows Update; build corrigido 11.2609.401.0 já era o mais recente em dez países verificados.
Detalhes da falha: leitura fora dos limites (out-of-bounds read) que permite a atacante não autenticado executar código pela rede sem interação do usuário; versão corrigida é o Paint 11.2605.91.0.
Incidente aberto.
Fontes 4 fontes
- @Pirat_Nation @Pirat_Nation
- @DarkWebInformer @DarkWebInformer
- @The_Cyber_News @The_Cyber_News
- Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It The Hacker News
