Vulnerabilitate Microsoft Paint: defect cu scor 8,1 în Windows

Microsoft a actualizat joi, 5 noiembrie 2026, avizul de securitate pentru o vulnerabilitate de severitate ridicată din Paint, aplicația de desen livrată de zeci de ani odată cu Windows. Breșa, înregistrată ca CVE-2026-83844, poate permite executarea de cod de la distanță pe sisteme Windows 11, iar remedierea ajunge la utilizatori prin Microsoft Store, nu prin Windows Update, potrivit publicațiilor SC Media, Cybernews și Tech Insider.

Cum funcționează defectul din Paint

Vulnerabilitatea are un scor de 8,1 din 10 pe scala CVSS 3.1 și ține de categoria CWE-125, o citire în afara limitelor memoriei. Concret, programul accesează date dincolo de zona de memorie care i-a fost alocată, explică Cybernews, iar acolo se pot afla informații sensibile. Potrivit textului Microsoft citat de Tech Insider, un atacator neautentificat ar putea trimite prin rețea un pachet special construit către un serviciu afectat. Atacul nu cere privilegii, date de autentificare sau vreo acțiune din partea victimei, scrie Cybernews, motiv pentru care publicația românească Goldring îl descrie drept un atac de tip „zero-click”.

Relatările diferă însă în privința mecanismului. SC Media, citând TechRadar, descrie un scenariu în care victima deschide în Paint o imagine modificată cu intenții rău-voitoare. Tech Insider notează că avizul Microsoft vorbește despre un pachet transmis prin rețea și consideră varianta cu fișierul imagine o presupunere neconfirmată. Aceeași publicație arată că avizul nu precizează ce serviciu sau ce configurație expune defectul.

Scorul de severitate pus în perspectivă

Pragul pentru vulnerabilitățile critice începe de la 9,0, așa că breșa din Paint se află la doar 0,9 puncte sub această categorie, notează Tech Insider. Lipsa privilegiilor necesare urcă scorul. Impactul asupra confidențialității, integrității și disponibilității datelor este evaluat de asemenea ca ridicat, adică un atacator ar putea compromite date, modifica informații din sistem sau perturba funcționarea calculatorului, potrivit Cybernews. În clasificarea proprie, Microsoft a încadrat totuși problema drept „importantă”, un nivel mai jos decât sugerează scorul.

Compania a evaluat complexitatea atacului ca fiind mare și consideră exploatarea puțin probabilă, pentru că presupune cunoștințe detaliate despre sistemul vizat. SC Media precizează că riscurile includ furtul de date de autentificare, fraudele prin transfer bancar și instalarea de ransomware. Până acum nu există confirmări că vulnerabilitatea ar fi fost exploatată în atacuri reale, iar defectul nu apare în catalogul vulnerabilităților exploatate al agenției americane Cybersecurity and Infrastructure Security Agency.

De ce actualizarea Windows nu este suficientă

Paint a devenit o aplicație separată, distribuită prin Microsoft Store, care se actualizează după propriul calendar, independent de pachetul lunar Windows. Prin urmare, un sistem Windows complet actualizat poate rula în continuare o versiune vulnerabilă de Paint, explică Tech Insider. SC Media relatează că unii utilizatori au rămas pe versiuni expuse deși verificaseră actualizările, iar Microsoft pare să distribuie corecția în etape.

Și versiunea care conține remedierea este raportată diferit:

• Cybernews și Goldring indică build-ul 11.2609.401.0, pe care Microsoft îl identifică drept actualizarea de securitate;
• SC Media menționează versiunea 11.2605.91.0 sau una mai nouă.

Tech Insider observă că doar versiunea 11.2609.401.0 sau una ulterioară acoperă ambele praguri. Microsoft recomandă ca utilizatorii să verifice explicit versiunea Paint instalată, de exemplu prin PowerShell sau din pagina de setări a aplicației, în loc să presupună că o actualizare generală Windows a rezolvat problema.

Cronologia remedierii

Potrivit Tech Insider, Microsoft a făcut publică vulnerabilitatea și a lansat corecția pe 13 octombrie 2026, în ciclul Patch Tuesday din octombrie. Actualizarea avizului din 5 noiembrie a readus subiectul în atenție, la 23 de zile după publicarea remedierii. În România, subiectul a fost preluat de Profit.ro și Goldring. Goldring atrage atenția și asupra riscului de a descărca patch-uri sau versiuni ale aplicației din surse neoficiale.

Microsoft a atribuit descoperirea breșei unui cercetător anonim, care a raportat problema prin canalul oficial de semnalare a vulnerabilităților al companiei.

Surse:

• SC Media – Microsoft addresses high-severity vulnerability in Paint application
• www.goldring.ro – Vulnerabilitatea zero-day din Microsoft Paint, CVE-2026-83844, ar putea permite executarea de cod malitios pe Windows 11
• Cybernews – Microsoft Paint flaw enables remote attacks without clicks
• tech-insider.org – Paint CVE-2026-83844: 8.1 Severity, Update Now [2026]