Microsoft hat die Paint-Sicherheitslücke CVE-2026-83844 am 7. November 2026 neu bewertet: Der Angriff ist als lokal eingestuft und erfordert eine Nutzeraktion. Der Schweregrad liegt bei 7,0 nach CVSS 3.1, also „hoch“. Als korrigierte Paint-Version nennt Microsoft 11.2609.401.0. Wenn du Paint unter Windows 11 nutzt, solltest du deshalb die Versionsnummer der App prüfen.
Was Microsoft an der Angriffsbewertung geändert hat
Der Fehler gehört zur Kategorie CWE-125, einer sogenannten Out-of-bounds-Leseoperation. Dabei liest ein Programm Speicher außerhalb des vorgesehenen Bereichs. Microsoft nennt die mögliche Ausführung von Code als Auswirkung der Paint-Lücke.
Für das Risiko sind aber auch die Voraussetzungen eines Angriffs wichtig. Genau hier hat Microsoft seine Beschreibung geändert. Wie Dark Reading berichtete, enthielt der am 13. Oktober 2026 veröffentlichte Sicherheitshinweis zunächst eine Netzwerkbewertung ohne erforderliche Nutzerinteraktion. Die Überarbeitung vom 7. November änderte diese zentralen Angaben:
| Fassung des Sicherheitshinweises | CVSS-3.1-Wert | Angriffsvektor | Nutzerinteraktion |
| Erstveröffentlichung vom 13. Oktober 2026 | 8,1 | Netzwerk | Nicht erforderlich |
| Überarbeitung vom 7. November 2026 | 7,0 | Lokal | Erforderlich |
CVSS ist ein Bewertungssystem für den Schweregrad von Sicherheitslücken. Die überarbeitete Einstufung setzt außerdem eine hohe Angriffskomplexität voraus. Ein erfolgreicher Angriff hängt damit von zusätzlichen Bedingungen ab. Vorherige Berechtigungen benötigt der Angreifer laut Microsoft nicht.
Die lokale Einstufung bezieht sich auf die Ausnutzung auf dem betroffenen System. Zusammen mit der erforderlichen Nutzeraktion beschreibt sie andere Angriffsvoraussetzungen als die ursprüngliche Netzwerkbewertung. Den vollständigen Angriffsweg hat Microsoft laut SOCRadar nicht veröffentlicht.
Zum 7. November 2026 war Microsoft keine Ausnutzung der Lücke bekannt.
Welche Paint-Version die Lücke schließt
Microsoft führt Paint-Versionen unter 11.2609.401.0 als betroffen und nennt 11.2609.401.0 als korrigierte Version. Damit ersetzt der aktuelle Grenzwert die zuvor verbreitete Angabe 11.2605.91.0. Wenn du deine Installation anhand eines älteren Berichts geprüft hast, ist die höhere Versionsnummer entscheidend.
Für die Aktualisierung ist der Microsoft Store zuständig, wie SOCRadar berichtet. Paint hat damit einen eigenen Updatekanal, den du bei der Kontrolle berücksichtigen musst.
Ein aktuelles Windows allein reicht als Kontrolle nicht aus: Prüfe die Versionsnummer von Paint selbst.
So prüfst du die installierte Paint-Version
Die Versionsnummer findest du in der Liste der installierten Apps. Dafür musst du weder eine Bilddatei öffnen noch mit Paint arbeiten:
- Öffne unter Windows 11 Einstellungen > Apps > Installierte Apps.
- Suche nach Paint und lies die Versionsnummer im App-Eintrag ab.
- Vergleiche sie mit 11.2609.401.0. Liegt deine Version darunter, öffne den Microsoft Store, suche nach App-Updates und installiere die für Paint angebotene Aktualisierung.
- Prüfe anschließend die Versionsnummer erneut in den Windows-Einstellungen.
