Een beveiligingslek in Microsoft Paint maakt remote code execution mogelijk. Microsoft kondigde vorige maand een update aan, maar systeembeheerders stellen dat de juiste versie lastig is te verkrijgen. De kwetsbaarheid (CVE-2026-83844) laat een ongeauthenticeerde aanvaller code op kwetsbare systemen uitvoeren, waarbij er geen enkele interactie van de gebruiker is vereist. Het versturen van een 'speciaal geprepareerd packet' is voldoende, aldus de uitleg van Microsoft.

Het techbedrijf stelt in het beveiligingsbulletin van 13 oktober dat een aanvaller vergaande kennis van het systeem moet hebben om een succesvolle aanval te kunnen uitvoeren. Daarnaast is een succesvolle aanval afhankelijk van verschillende factoren, zoals de omgeving, systeemconfiguratie en de aanwezigheid van aanvullende beveiligingsmaatregelen. Verder laat Microsoft weten dat het probleem is verholpen in Microsoft Paint versie 11.2609.401.0.

De gepatchte Paint-versie zou via de Microsoft Store te downloaden moeten zijn, maar beheerders melden op Reddit dat ze de nieuwste versie niet binnenkrijgen. Ook op het forum van Microsoft klagen mensen hierover. De versie die de Microsoft Store aanbiedt dateert van 21 augustus. Gebruikers klagen ook dat Microsoft Paint niet meer is te updaten via Windows Update, maar dat dit via de Microsoft Store moet gebeuren.

Neowin bericht dat systeembeheerders dan ook niet moeten aannemen dat Paint up-to-date is omdat de Microsoft Store dit meldt. Via PowerShell kan de geïnstalleerde versie worden bekeken (Get-AppxPackage Microsoft.Paint | Select-Object Name, Version). Verder krijgen gebruikers het advies om via de Microsoft Store op updates te blijven controleren. Het is mogelijk dat de update gefaseerd wordt uitgerold.