RFF signale, pour le 6 novembre 2026 à 04:14 UTC, la présence de Microsoft Paint 11.2609.401.0 dans les catalogues du Microsoft Store aux États-Unis, au Royaume-Uni et en Allemagne. Des comptes rendus publiés le même jour attribuent cette version à la correction de CVE-2026-83844. Pour inventorier un parc Windows, il faut distinguer la version proposée dans le catalogue des paquets Paint présents sur chaque poste.
Ce que décrit CVE-2026-83844
La fiche publique de CVE-2026-83844 décrit une lecture hors limites dans Windows Paint, classée CWE-125, susceptible de permettre l’exécution de code à distance sur le réseau. Elle attribue à la faille un score CVSS 3.1 de 8,1. Son vecteur indique une attaque par le réseau, de complexité élevée, sans privilège préalable ni interaction de l’utilisateur dans le scénario évalué.
La description de l’avis Microsoft, citée dans un compte rendu du 6 novembre, parle d’un attaquant sans authentification qui envoie un paquet spécialement conçu à un service affecté via le réseau. C’est le scénario d’attaque rapporté ; il ne précise pas de déclencheur par ouverture d’image.
Paint se met à jour par le Microsoft Store
Les comptes rendus du 6 novembre indiquent que la correction de Paint passe par le Microsoft Store, séparément des mises à jour cumulatives de Windows. Installer les mises à jour de Windows ne suffit donc pas à connaître la version de Paint présente sur un appareil.
Les inscriptions de Paint peuvent être distinctes d’un profil utilisateur à l’autre. Windows conserve aussi un paquet provisionné destiné aux nouveaux profils. Un contrôle limité au compte actuellement connecté peut ainsi laisser de côté une version plus ancienne associée à un autre profil ou au paquet provisionné.
Deux observations datées du catalogue
RFF rapporte les versions obtenues lors de deux consultations de catalogue, à des heures et dans des marchés nommés différents :
| Date et heure (UTC) | Marchés cités | Version de Paint dans le catalogue |
| 5 novembre 2026, 03:34 | États-Unis, Royaume-Uni, Allemagne, Australie, Inde et Singapour | 11.2605.81.0 |
| 6 novembre 2026, 04:14 | États-Unis, Royaume-Uni et Allemagne | 11.2609.401.0 |
La fiche publique du CVE situe la limite des versions affectées avant 11.2605.91.0, tandis que les comptes rendus du 6 novembre donnent 11.2609.401.0 comme version corrigée selon les informations de sécurité de Microsoft. Pour l’inventaire, le seuil de remédiation rapporté est donc 11.2609.401.0 ou une version ultérieure.
