CVE-2026-83844: Paint 11.2609.401.0 nei cataloghi Store di tre Paesi

Alle 04:14 UTC del 6 novembre 2026, RFF ha riferito che Paint 11.2609.401.0 compariva nei cataloghi del Microsoft Store negli Stati Uniti, nel Regno Unito e in Germania. La verifica riguardava il catalogo: per censire l’app su un PC occorre considerare le versioni registrate nei diversi profili e il pacchetto predisposto per i nuovi profili.

Che cosa descrive CVE-2026-83844

Il registro pubblico del CVE descrive CVE-2026-83844 come una lettura fuori dai limiti della memoria in Windows Paint (CWE-125), che può consentire l’esecuzione di codice da remoto tramite rete. Il punteggio assegnato è 8,1 su 10 secondo CVSS 3.1. Il vettore indica un attacco via rete (AV:N), complessità alta (AC:H), nessun privilegio richiesto (PR:N) e nessuna interazione dell’utente (UI:N).

The Hacker News ha riportato che l’avviso Microsoft descrive un aggressore non autenticato che invia un pacchetto appositamente costruito a un servizio interessato attraverso la rete.

Paint si aggiorna tramite Microsoft Store

Secondo i resoconti di The Hacker News e RFF, la correzione di Paint arriva tramite Microsoft Store, non attraverso gli aggiornamenti cumulativi di Windows. Tenere aggiornato Windows, quindi, non aggiorna di per sé l’app Paint.

Le registrazioni di Paint possono essere distinte per profilo utente; Windows può inoltre conservare un pacchetto predisposto per i nuovi profili. Un inventario limitato all’account attivo può lasciare fuori una copia associata a un altro profilo o quella predisposta per i nuovi utenti.

Il 6 novembre, i resoconti attribuivano a Microsoft la build 11.2609.401.0 come versione corretta. Nella stessa data, il registro pubblico del CVE indicava come interessate le versioni da 11.0.0.0 fino a quelle precedenti a 11.2605.91.0.

Le versioni rilevate nei cataloghi Store

Le due verifiche di catalogo riferite da RFF riportavano questi risultati: