Microsoft heeft een kwetsbaarheid in Microsoft Paint gedicht die remote code execution mogelijk kan maken. Het gaat om CVE-2026-83844, een lek waarvoor volgens de beschikbare informatie geen aanmelding en geen gebruikersinteractie nodig is. Tegelijk melden systeembeheerders dat de versie waarin het probleem is opgelost niet altijd eenvoudig via de Microsoft Store te verkrijgen is.
Kwetsbaarheid in Paint
De kwetsbaarheid is door Microsoft beschreven in het beveiligingsbulletin van 13 oktober. Het bedrijf stelt dat een ongeauthenticeerde aanvaller code kan uitvoeren op kwetsbare systemen door een speciaal geprepareerd packet te versturen. Volgens de toelichting is daarbij geen handeling van de gebruiker vereist.
Microsoft plaatst daar wel kanttekeningen bij. Voor een succesvolle aanval zou een aanvaller vergaande kennis van het doelwit of de omgeving nodig hebben. Ook hangt de kans op misbruik af van meerdere omstandigheden, waaronder de systeemconfiguratie, de omgeving waarin het systeem draait en de aanwezigheid van aanvullende beveiligingsmaatregelen.
Het lek is volgens Microsoft verholpen in Microsoft Paint versie 11.2609.401.0. Die versie zou via de Microsoft Store beschikbaar moeten zijn.
Beheerders melden problemen met beschikbaarheid update
Hoewel Microsoft de update heeft aangekondigd, melden systeembeheerders dat zij de juiste versie niet altijd binnenkrijgen. Op Reddit stellen beheerders dat de nieuwste Paint-versie niet beschikbaar verschijnt. Ook op het forum van Microsoft klagen gebruikers over vergelijkbare problemen.
Een terugkerend punt in de meldingen is dat Microsoft Paint niet langer via Windows Update wordt bijgewerkt, maar via de Microsoft Store. Dat kan in beheeromgevingen tot verwarring leiden, omdat organisaties gewend kunnen zijn om kwetsbaarheden via het reguliere Windows Update-proces af te handelen. Volgens de meldingen biedt de Microsoft Store in sommige gevallen nog een Paint-versie aan die dateert van 21 augustus, terwijl de kwetsbaarheid pas is verholpen in versie 11.2609.401.0.
Gebruikers en beheerders krijgen daarom het advies om niet uitsluitend af te gaan op de melding dat de Microsoft Store up-to-date is. De geïnstalleerde versie van Paint kan via PowerShell worden gecontroleerd met het commando Get-AppxPackage Microsoft.Paint | Select-Object Name, Version. Verder wordt aangeraden om in de Microsoft Store te blijven controleren op updates. Het is mogelijk dat de update gefaseerd wordt uitgerold.
Waarom dit relevant is voor organisaties
Bevestigd is dat Microsoft een kwetsbaarheid met remote-code-execution-impact heeft benoemd en dat de oplossing aan een specifieke Paint-versie is gekoppeld. Ook is bevestigd dat de update via de Microsoft Store beschikbaar zou moeten komen. De praktische onzekerheid zit in de uitrol: uit meldingen van beheerders blijkt dat niet iedereen de gepatchte versie direct ziet.
Analyse: voor organisaties is vooral het updatekanaal belangrijk. Paint is een standaard en breed bekende Windows-applicatie, maar de distributie via de Microsoft Store kan buiten bestaande patchprocessen vallen. Als beheerders alleen controleren of Windows Update volledig is bijgewerkt, kan een kwetsbare Store-applicatie mogelijk onopgemerkt blijven. Dat maakt versiecontrole relevant, zeker in omgevingen waar applicatie-updates centraal worden beheerd of waar de Microsoft Store beperkt beschikbaar is.
De kwetsbaarheid wordt door Microsoft niet beschreven als triviaal te misbruiken: een aanvaller heeft volgens het bedrijf aanzienlijke kennis nodig en succes hangt af van omgevingsfactoren. Dat neemt niet weg dat remote code execution doorgaans als een ernstige categorie geldt, omdat succesvolle uitbuiting kan leiden tot het uitvoeren van code op een systeem zonder dat de gebruiker bewust een verdachte actie uitvoert.
Wat nu bekend is
De kern van de situatie is dat CVE-2026-83844 volgens Microsoft is opgelost in Paint 11.2609.401.0, maar dat meldingen van beheerders wijzen op vertraging of onduidelijkheid bij de distributie via de Microsoft Store. Organisaties die Paint op Windows-systemen toestaan, doen er daarom goed aan de daadwerkelijke geïnstalleerde versie te controleren in plaats van alleen op algemene update-indicatoren te vertrouwen.
Bron: security.nl
