Microsoft heeft wegens een kwetsbaarheid in Windows Paint waardoor remote code execution (RCE) mogelijk is gisterenavond een nieuwe versie van de software uitgebracht. Deze week ontstond de nodige ophef over het beveiligingslek in Paint. De kwetsbaarheid (CVE-2026-83844) laat een ongeauthenticeerde aanvaller code op kwetsbare systemen uitvoeren, waarbij er geen enkele interactie van de gebruiker is vereist.

Het versturen van een 'speciaal geprepareerd packet' is voldoende, aldus de uitleg van Microsoft. "De kwetsbaarheid kan worden misbruikt door een aanvaller die een speciaal gemaakte afbeelding opent in Windows Paint. Hierdoor kan de aanvaller eigen opdrachten uitvoeren op de computer zoals programma's kan installeren of gegevens bekijken. Dit is gevaarlijk omdat het systeem zo overgenomen kan worden", zo laat het Nationaal Cyber Security Centrum (NCSC) weten.

De update voor de kwetsbaarheid verscheen op 13 oktober al, maar kwam deze week in het nieuws omdat beheerders op Reddit klaagden dat het lastig was om de patch te downloaden. Microsoft heeft het beveiligingsbulletin van CVE-2026-83844 gisterenavond van een update voorzien, waarin het techbedrijf meldt dat er een nieuwe versie van Windows Paint is uitgebracht om de kwetsbaarheid volledig te verhelpen. Microsoft roept gebruikers op om te updaten naar Windows Paint versie 11.2609.401.0, of te controleren dat deze versie via de automatisch update is geïnstalleerd.