La corrección de CVE-2026-83844, una falla de ejecución remota de código en Windows Paint, ya está disponible en la Microsoft Store. La aplicación recibe este parche únicamente mediante una actualización de la Store, no a través de las actualizaciones de Windows.
La compilación corregida, 11.2609.401.0, era la más reciente de Paint en los diez países que verificó The Hacker News hoy. El fallo consiste en una lectura fuera de límites que podría permitir a un atacante ejecutar código a través de la red. Microsoft lo clasifica como Importante, con una puntuación CVSS de 8.1, y señala que un ataque exitoso requiere un conocimiento profundo del sistema objetivo. Cuando la compañía publicó la vulnerabilidad el 13 de octubre, no se tenía constancia de que hubiera sido explotada ni divulgada públicamente.
Brian Vitko, de RFF, una empresa de software de gestión de dispositivos, comprobó a principios de esta semana qué compilaciones de Paint ofrecía la Store en seis países. Descubrió que la más reciente en cada uno era la 11.2605.81.0, una versión sin el parche. Su máquina virtual de pruebas ya se ha actualizado por sí sola a la compilación corregida mediante la actualización automática de la Store. Se trata de un solo equipo, y aún no está claro con qué rapidez recibirán la compilación los demás PC.
Qué compilación cuenta como corregida
El aviso de seguridad de Microsoft identifica la 11.2609.401.0 como la compilación corregida. El registro de la CVE del fallo, que la empresa también publica, sigue indicando que Paint está afectado solo por versiones anteriores a la 11.2605.91.0. Su entrada en la NVD muestra el mismo rango.
Por lo tanto, un escáner que lea el registro de la CVE trataría como corregida cualquier compilación igual o superior a la 11.2605.91.0. Una copia en la 11.2609.401.0 o posterior cumple con ambos números. Todavía la semana pasada, el aviso daba la 11.2605.91.0 como compilación corregida, según una pregunta publicada en el foro Microsoft Q&A. El historial de revisiones del aviso sigue mostrando únicamente la entrada del 13 de octubre, sin ninguna nota sobre el cambio.
Cómo revisar todas las copias de Paint
Paint, como otras aplicaciones de la Store, se instala de forma independiente para cada cuenta de usuario de un PC. Windows también puede conservar una copia aprovisionada que instala para cada usuario nuevo. Revisar solo la cuenta con la sesión iniciada puede dejar pasar copias antiguas.
El informe de pruebas de Vitko ofrece dos comandos para ejecutar en una ventana de PowerShell abierta como administrador. El primero enumera la copia de Paint de cada usuario y el segundo muestra la copia aprovisionada.
- Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
- Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Para cualquier copia anterior a la 11.2609.401.0:
- Actualizar Paint a través de la Store o dejar que la actualización automática de la Store instale la compilación corregida. En Intune y otras herramientas de gestión de dispositivos, el análisis de actualizaciones de aplicaciones de la Store hace esto en muchos PC a la vez.
- Volver a ejecutar ambos comandos y comprobar que todas las copias muestran la 11.2609.401.0 o una posterior.
El aviso no incluye ningún método alternativo ni mitigación. Antes de que la corrección llegara a la Store, Vitko sugirió eliminar Paint donde nadie lo necesite, para todos los usuarios y de la copia aprovisionada. No probó ese paso.
Condiciones de ataque y estado de explotación
Un atacante podría aprovechar el fallo enviando "un paquete especialmente diseñado a un servicio afectado a través de la red", según el aviso, que no especifica cuál es el servicio. El ataque no requeriría iniciar sesión ni la intervención del usuario.
Cuando The Hacker News lo comprobó hoy, el fallo no figuraba en el catálogo de vulnerabilidades explotadas conocidas que gestiona la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA). El catálogo se actualizó por última vez a principios de esta semana.
Deja una respuesta