RFF meldete am 6. November 2026 um 04:14 UTC Paint 11.2609.401.0 im Microsoft-Store-Katalog für Deutschland, die USA und das Vereinigte Königreich. Die Abfrage erfasste den Katalogstand, nicht die auf einzelnen PCs installierte Paint-Version.
Welche Paint-Versionen im Store-Katalog auftauchten
RFF meldete folgende Katalogstände für zwei Abfragen:
| Zeitpunkt (UTC) | Benannte Märkte | Gemeldete Paint-Version |
| 5. November 2026, 03:34 Uhr | USA, Vereinigtes Königreich, Deutschland, Australien, Indien und Singapur | 11.2605.81.0 |
| 6. November 2026, 04:14 Uhr | USA, Vereinigtes Königreich und Deutschland | 11.2609.401.0 |
The Hacker News berichtete am 6. November, Microsoft führe 11.2609.401.0 als korrigierten Build. Der öffentliche CVE-Datensatz nennt hingegen Paint-Versionen ab 11.0.0.0 und unter 11.2605.91.0 als betroffen.
Was CVE-2026-83844 beschreibt
Der öffentliche CVE-Datensatz beschreibt bei Windows Paint einen Out-of-bounds-Read (CWE-125), also einen Lesezugriff außerhalb des vorgesehenen Speicherbereichs. Die Schwachstelle kann demnach Remotecodeausführung über ein Netzwerk ermöglichen. Der Datensatz vergibt CVSS 3.1 8,1; der Angriffsvektor ist Netzwerk, die Angriffskomplexität hoch. Für das bewertete Szenario sind weder Berechtigungen noch eine Interaktion durch den Nutzer erforderlich.
The Hacker News zitierte Microsofts Advisory mit der Beschreibung, ein Angreifer ohne Anmeldung könne ein speziell präpariertes Paket über das Netzwerk an einen betroffenen Dienst senden.
Warum Paint und Windows getrennte Updates erhalten
Berichte vom 6. November beschrieben die Paint-Korrektur als Update über den Microsoft Store, getrennt von kumulativen Windows-Updates. Ein aktueller Windows-Update-Stand gibt daher nicht an, welche Paint-Version installiert ist.
Paint kann für verschiedene Benutzerprofile separat registriert sein. Zusätzlich gibt es ein bereitgestelltes Paket für neue Profile. Eine Prüfung nur im angemeldeten Profil kann deshalb eine ältere Paint-Installation in einem anderen Benutzer- oder Bereitstellungskontext übersehen.
