Uma correção para a
CVE-2026-83844
, uma falha de execução remota de código no Paint do Windows, já está disponível na Microsoft Store. A correção chega ao Paint por meio de uma atualização da Store, e não pelas atualizações do Windows.
A versão corrigida, 11.2609.401.0, era a mais recente do Paint nos dez países consultados pelo The Hacker News.
A falha consiste em uma leitura fora dos limites que poderia permitir que um invasor executasse código pela rede. A Microsoft a classifica como Importante e atribuiu a ela uma pontuação CVSS de 8,1. Segundo a empresa, um ataque bem-sucedido exige conhecimento profundo do sistema-alvo. Quando publicou informações sobre a falha, em 13 de outubro, a Microsoft não tinha conhecimento de que ela estivesse sendo explorada ou tivesse sido divulgada publicamente.
No início desta semana, Brian Vitko, da RFF, fabricante de software de gerenciamento de dispositivos, verificou quais versões do Paint eram oferecidas pela Store em seis países. Em todos eles, encontrou a versão mais recente, 11.2605.81.0, que ainda não incluía a correção.
Desde então, a máquina virtual usada por Vitko nos testes foi atualizada automaticamente para a versão corrigida por meio das atualizações automáticas da Store. Trata-se de apenas um dispositivo, e ainda não está claro com que rapidez a nova versão chegará a outros computadores.
Qual versão é considerada corrigida
O comunicado de segurança da Microsoft aponta a versão 11.2609.401.0 como corrigida. No entanto, o registro da CVE, também publicado pela empresa, ainda indica que o Paint só está vulnerável em versões anteriores à 11.2605.91.0. O registro correspondente na NVD apresenta a mesma faixa.
Assim, uma ferramenta de verificação que consulte o registro da CVE considerará corrigida qualquer versão a partir da 11.2605.91.0. Uma instalação com a versão 11.2609.401.0 ou posterior atende aos dois critérios.
Até a semana passada, o comunicado indicava a versão 11.2605.91.0 como corrigida, conforme uma resposta a uma pergunta publicada no fórum Microsoft Q&A. O histórico de revisões do comunicado ainda mostra apenas a entrada de 13 de outubro, sem registrar a mudança.
Como verificar todas as instalações do Paint
Como outros aplicativos da Store, o Paint é instalado separadamente para cada conta de usuário do computador. O Windows também pode manter uma cópia provisionada, que é instalada para cada novo usuário. Verificar apenas a conta conectada pode deixar passar versões antigas.
O guia de teste de Vitko apresenta dois comandos para executar em uma janela do PowerShell aberta como administrador. O primeiro lista as cópias do Paint de todos os usuários; o segundo mostra a cópia provisionada.
```powershell
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
```
Para qualquer cópia anterior à versão 11.2609.401.0:
- Atualize o Paint pela Store ou aguarde a instalação automática da versão corrigida. No Intune e em outras ferramentas de gerenciamento de dispositivos, é possível buscar atualizações de aplicativos da Store em vários computadores.
- Execute novamente os dois comandos e confirme que todas as cópias estão na versão 11.2609.401.0 ou posterior.
O comunicado não apresenta solução alternativa nem medida de mitigação. Antes de a correção chegar à Store, Vitko sugeriu remover o Paint das contas existentes e da cópia provisionada caso ninguém precisasse dele. Ele não testou esse procedimento.
Condições de ataque e situação da exploração
Segundo o comunicado, um invasor poderia explorar a falha enviando “um pacote especialmente criado a um serviço afetado pela rede”, mas a Microsoft não identifica o serviço. O ataque não exigiria autenticação nem a intervenção do usuário.
Na consulta feita hoje pelo The Hacker News, a falha não constava no catálogo de vulnerabilidades conhecidas como exploradas da Cybersecurity and Infrastructure Security Agency (CISA). O catálogo havia sido atualizado pela última vez no início desta semana.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...