Microsoft ha corregido una vulnerabilidad de ejecución remota de código en la aplicación Paint (CVE-2026-83844) y la corrección ya está disponible en la Microsoft Store. Según el aviso de la compañía, el build solucionado es el 11.2609.401.0, que en pruebas puntuales fue el más reciente ofrecido por la Store en varios países.
Qué falla y qué riesgo supone
La vulnerabilidad es un error de lectura fuera de los límites (out-of-bounds read) que, en determinadas condiciones, podría permitir a un atacante ejecutar código de forma remota al enviar un paquete especialmente diseñado a un servicio afectado en la red. Microsoft califica el fallo como «Important» con una puntuación CVSS de 8.1 y señala que un ataque exitoso exigiría un conocimiento profundo del sistema objetivo.
Cómo se distribuye el parche y por qué importa
A diferencia de otras correcciones de seguridad que se entregan mediante Windows Update, esta corrección se ha desplegado exclusivamente como actualización de la aplicación Microsoft Paint a través de la Microsoft Store. Eso implica varias consecuencias prácticas:
- La actualización llega por el mecanismo de la Store y puede tardar en instalarse según la configuración de actualizaciones automáticas de la tienda o del usuario.
- Paint se instala por usuario y también puede existir una copia provisionada que Windows aplica a nuevas cuentas. Comprobar la versión del Paint del usuario autenticado no garantiza que no haya instalaciones antiguas en otras cuentas o en la imagen provisionada del sistema.
Qué deben hacer administradores y propietarios de sitios
Administradores de sistemas y responsables de servidores o estaciones con exposición a redes públicas deberían verificar que la versión de Paint instalada en todas las cuentas y en la copia provisionada se ha actualizado al build 11.2609.401.0 o superior. Microsoft todavía mantiene documentación y registros que en algunos lugares listan límites de versión diferentes, por lo que es importante comprobar directamente la versión instalada.
Para auditar versiones de Paint en un equipo con privilegios de administrador se pueden ejecutar dos comandos PowerShell que listan las copias por usuario y la copia provisionada respectivamente:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = ‘Users’; e = { $_.PackageUserInformation.UserSecurityId.Username -join ‘, ‘ } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq ‘Microsoft.Paint’ | Select-Object Version
Si alguna máquina no ha recibido la actualización de la Store y Paint no es necesaria, los administradores podrían considerar eliminar la app de todas las cuentas y de la copia provisionada como medida temporal. Microsoft no proporciona mitigaciones alternativas oficiales en su aviso.
Estado de explotación y detección
En el momento de la publicación no había indicios públicos de explotación activa del fallo ni estaba listado en el catálogo de vulnerabilidades explotadas conocido por la CISA. Microsoft indicó que la vulnerabilidad no estaba públicamente divulgada ni registrada como explotada cuando publicó su aviso el 13 de octubre.
Un aspecto a vigilar es la discrepancia entre registros: algunos sistemas de escaneo que consulten entradas CVE o el NVD podrían interpretar como remediadas versiones a partir de 11.2605.91.0, mientras que la corrección confirmada en la Store es 11.2609.401.0. Eso puede llevar a falsos positivos o negativos en inventarios automatizados.
Conclusión práctica
La corrección para CVE-2026-83844 ya está disponible, pero al distribuirse solo por la Microsoft Store conviene que los responsables comprueben manualmente las versiones instaladas en todas las cuentas y la copia provisionada de sus equipos. Si Paint no es imprescindible, eliminar la app temporalmente puede reducir la superficie de ataque hasta que la actualización se propague por completo.
Lee también:
- Gobernanza para agentes de IA: marco de tres dimensiones para asegurar resiliencia operativa
- CloudLinux publica parches por falla en sockets UDP del kernel (CVE-2026-98276)
Fuente: The Hacker News
