Microsoft corrige falha RCE no Paint, mas atualização não chega pelo Windows Update

A Microsoft disponibilizou uma correção para a vulnerabilidade CVE-2026-83844, que afeta o Paint e pode permitir a execução remota de código (RCE). A atualização está disponível exclusivamente pela Microsoft Store, o que significa que o Windows Update não instala automaticamente a correção.

A falha recebeu pontuação 8,1 no CVSS e foi classificada como importante pela Microsoft. O problema envolve uma leitura de memória fora dos limites (out-of-bounds read) que pode permitir a execução de código por meio da rede.

Segundo a empresa, a exploração exige conhecimento aprofundado do sistema afetado. Entretanto, o ataque não requer autenticação nem interação do usuário. Um invasor poderia explorar a vulnerabilidade enviando um pacote especialmente desenvolvido para um serviço vulnerável, embora a Microsoft não tenha identificado publicamente qual serviço estaria envolvido.

A vulnerabilidade foi divulgada em 13 de outubro de 2026. Na ocasião, não havia registros conhecidos de exploração ativa nem divulgação pública anterior da falha.

Correção está disponível, mas distribuição depende da Microsoft Store

A versão 11.2609.401.0 do Paint é identificada pela Microsoft como a compilação que corrige a vulnerabilidade.

Uma verificação realizada pelo The Hacker News em dez países confirmou que essa era a versão mais recente disponível na Microsoft Store em todos os locais consultados.

Entretanto, a distribuição da atualização apresentou diferenças ao longo da semana. Brian Vitko, da RFF, fabricante de software para gerenciamento de dispositivos, verificou anteriormente as versões oferecidas pela loja em seis países e identificou que a mais recente era a 11.2605.81.0, ainda vulnerável.

Posteriormente, uma máquina virtual utilizada nos testes recebeu automaticamente a versão corrigida por meio das atualizações da Microsoft Store. Apesar disso, ainda não está claro quanto tempo será necessário para que todos os computadores recebam a atualização.

Divergência na documentação pode afetar scanners de vulnerabilidades

Outro ponto identificado envolve inconsistências nos registros oficiais da vulnerabilidade.

O comunicado de segurança da Microsoft estabelece a versão 11.2609.401.0 como corrigida. Entretanto, o registro da CVE mantido pela própria empresa e a entrada correspondente no National Vulnerability Database (NVD) indicam que apenas versões anteriores à 11.2605.91.0 são afetadas.

Essa diferença pode provocar resultados incorretos em ferramentas automatizadas de gerenciamento de vulnerabilidades.

Um scanner que utilize exclusivamente os dados do registro CVE poderá considerar corrigidas versões iguais ou superiores à 11.2605.91.0, mesmo que não correspondam à versão atualmente indicada no comunicado de segurança.

Segundo uma discussão no fórum Microsoft Q&A, o comunicado ainda identificava a versão 11.2605.91.0 como corrigida na semana anterior. Apesar da alteração, o histórico de revisões continua apresentando apenas a publicação original de 13 de outubro, sem registrar a mudança.

Como verificar se o Paint está atualizado

A verificação exige atenção porque aplicativos distribuídos pela Microsoft Store podem ser instalados separadamente para diferentes contas de usuário. O Windows também pode manter uma versão provisionada, utilizada na instalação do aplicativo para novos usuários.

Consequentemente, verificar apenas a conta conectada pode deixar versões antigas sem identificação.

Para localizar todas as instalações do Paint, é possível executar o seguinte comando no PowerShell com privilégios administrativos:

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }

Para verificar a versão provisionada no sistema:

Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

Caso alguma instalação apresente versão inferior à 11.2609.401.0, a orientação é atualizar o Paint pela Microsoft Store ou aguardar a atualização automática.

Em ambientes corporativos, ferramentas de gerenciamento de dispositivos, como o Microsoft Intune, podem executar verificações de atualização dos aplicativos da Store em múltiplos computadores.

Após a atualização, os administradores devem repetir os comandos para confirmar que todas as instalações utilizam a versão corrigida ou posterior.

Microsoft não disponibilizou medidas alternativas de mitigação

O comunicado oficial não apresenta soluções temporárias ou medidas alternativas para reduzir o risco enquanto a atualização não é instalada.

Antes da disponibilização da correção, Brian Vitko sugeriu remover o Paint dos computadores nos quais o aplicativo não fosse necessário, incluindo instalações individuais e a versão provisionada. Entretanto, o especialista informou que não testou esse procedimento.

Até a última verificação realizada pelo The Hacker News, a CVE-2026-83844 não constava no catálogo de vulnerabilidades conhecidas por exploração ativa (KEV) da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA).

Embora não existam evidências públicas de exploração ativa, a combinação de execução remota de código, ausência de autenticação e distribuição da correção fora do Windows Update exige atenção dos administradores responsáveis pelo gerenciamento de endpoints.