Em 6 de novembro de 2026, às 04h14 UTC, a RFF encontrou o Microsoft Paint 11.2609.401.0 nos catálogos da Microsoft Store dos Estados Unidos, do Reino Unido e da Alemanha. Em relato publicado no mesmo dia, o The Hacker News informou que o aviso de segurança da Microsoft apontava essa versão como corrigida para a CVE-2026-83844.
A versão do Paint mudou nos catálogos da Store
A RFF relatou duas consultas ao catálogo em horários diferentes. A tabela reúne as versões e os mercados que apareceram em cada uma.
| Data e horário (UTC) | Mercados mencionados | Versão do Paint |
| 5 de novembro, 03h34 | Estados Unidos, Reino Unido, Alemanha, Austrália, Índia e Singapura | 11.2605.81.0 |
| 6 de novembro, 04h14 | Estados Unidos, Reino Unido e Alemanha | 11.2609.401.0 |
O que descreve a CVE-2026-83844
O registro público descreve uma leitura fora dos limites da memória no Windows Paint, classificada como CWE-125, que pode permitir execução remota de código pela rede. A avaliação CVSS 3.1 é 8,1. Seu vetor registra ataque pela rede, alta complexidade, ausência de privilégios exigidos e ausência de interação do usuário (registro da CVE na GitHub Advisory Database).
Na descrição do aviso da Microsoft reproduzida pelo The Hacker News, um invasor sem autenticação poderia explorar a falha enviando pela rede um pacote especialmente criado a um serviço afetado.
A atualização do Paint usa outro canal
Relatos da RFF e do The Hacker News descrevem a correção do Paint como uma atualização distribuída pela Microsoft Store, separada das atualizações cumulativas do Windows. A versão do sistema operacional, portanto, não indica por si só qual build do aplicativo está instalada.
As cópias do Paint também podem estar registradas para perfis de usuário diferentes, além de existir um pacote provisionado para novos perfis. Por isso, o inventário de um único perfil pode deixar outras cópias fora da checagem.
