Microsoft Paint bevat een remote code execution-lek met een CVSS-score van 8,1. Microsoft bracht in oktober een fix uit, maar veel beheerders krijgen de gepatchte versie niet binnen. Ook is er verwarring over het juiste versienummer.
Via een kwetsbaarheid in Microsoft Paint kunnen aanvallers op afstand code uitvoeren op Windows 11-pc’s. Deze kwetsbaarheid staat bekend als CVE-2026-83844. Microsoft maakte het bestaan ervan wereldkundig op 13 oktober bekend en bracht een fix uit. Toch melden beheerders dat die update hen niet bereikt.
Het gaat om een out-of-bounds read in Paint. Met een speciaal geprepareerde afbeelding kan een aanvaller kwaadaardige code laten draaien. Volgens Microsofts eigen classificatie verloopt de aanval via het netwerk en zijn er geen privileges voor nodig. Desondanks spreekt het bedrijf van een aanvalscomplexiteit van ‘High’. Windows Latest spreekt desondanks van een no-click bug die ook met automatische updates ingeschakeld ongepatcht kan blijven.
Welke versie is veilig?
In de Security Update Guide noemde Microsoft aanvankelijk versie 11.2605.91.0 als de gepatchte en dus veilige release. Op een Microsoft Q&A-forum vroeg iemand waar die versie te vinden was, want de Microsoft Store bood nog altijd de onveilige versie 11.2605.81.0 aan. Op Reddit deelde een beheerder PowerShell-output waaruit bleek dat Paint op die oudere versie bleef hangen, ook na een updatecheck in de Store en het draaien van WSReset.
Mogelijk gaat het om een gefaseerde uitrol, ietwat apart voor een gevaarlijk lek maar gebruikelijk voor een patch. Een gebruiker beweert dat de patch vooralsnog alleen in Zuid-Aziatische regio’s beschikbaar is. Inmiddels vermeldt de MSRC-pagina echter versie 11.2609.401.0 als fix. Het lijkt erop dat de eerdere versie een typfout had, al heeft Microsoft dat niet bevestigd. Ook andere partijen wijzen baar 11.2609.401.0 als veilige versie.
Zelf controleren
Dat de Store Paint als up-to-date aanmerkt, zegt dus weinig. De daadwerkelijk geïnstalleerde versie is op te vragen met PowerShell: Get-AppxPackage Microsoft.Paint | Select-Object Name, Version. Zolang de patch niet overal beschikbaar is, kunnen organisaties onbetrouwbare afbeeldingsbijlagen tijdelijk beperken. En wie Paint om wat voor reden dan ook niet nodig heeft, kan de app ook verwijderen.
Lees ook: Kwetsbaarheid in Windows Defender leidt tot bestandsverlies