MSFT conserta falha grave no Paint do Win11, mas atualizacao demanda atencao

A MSFT lançou na MSFT Store a correção pra a CVE-2026-83844, falha de execução remota de codigo (RCE na sigla em ingles) no Paint do Windows. A build 11.2609.401.0 (a mais recente em 10 paises verificados pela midia internacional) é a que ja possui a correção. O app recebeu o reparo unicamente por atualizacao da Store, sem passar pelo Windows Update.

A divulgacao do problema descrito aconteceu em 13 de outubro, com classificacao “Relevante” e nota CVSS de 8,1 (Common Vulnerability Scoring System, ou Sistema Comum de Nota de Vulnerabilidades). A falha consistia numa leitura fora dos limites que possibilitava a um invasor executar codigo malicioso pela rede. The Hacker News Sugestões de aquisicao Notebook Jogador Acer Predator Helios Neo 16 AI com Placa NVIDIA GeForce RTX5070 Notebook Acer Aspire 16 com Processador Intel Corp. Core Ultra 5 16GB de Memoria Ram LPDDR5 Notebook Vivobook 16 Intel Corp. Core i7-1355U 16GB Ram 512GB Ssd Tela 16 FullHD Win11 Asus A build 11.2605.81.0 e a checagem de Vitko Brian Vitko, pesquisador da RFF, verificou no início da semana quais builds do Paint a Store proporcionava em seis paises.

A mais recente em cada um era a 11.2605.81.0 (anterior a descrita acima), sem a correção. A verificação feita nesta sexta-feira (6) pelo site internacional The Hacker News indicou a 11.2609.401.0 como a build mais recente do Paint em dez paises analisados. O dado aponta que a edição disponivel na Store avançou desde a checagem de Vitko.

E, pra complementar, a máquina virtual de teste do pesquisador passou sozinha pra a build consertada pela atualizacao automatica da Store, apesar de o ritmo de distribuicao pra outros PCs seguir indefinido. O que a falha CVE-2026-83844 possibilita explorar A falha CVE-2026-83844 do Paint consistia em uma leitura fora dos limites que permitia a execução remota de codigo pela rede. Um ataque exitoso demandava entendimento profundo do sistema-alvo, de acordo com a avaliacao da companhia.

A exploracao se daria pelo envio de um bundle particularmente concebido a um serviço impactado pela rede, sem nomeação do serviço no aviso. O ataque demitiria login e assistência do usuário. Status de exploracao e atualizacao do catálogo da CISA A falha nao constava na lista de vulnerabilidades exploradas conhecidas da CISA (Cybersecurity and Infrastructure Security Agency, agência de segurança cibernética dos Estados Juntados) atualmente da verificação.

O catálogo teve atualizacao no início desta semana. Na publicação de 13 de