Windows Paint, CVE-2026-83844: RCE da remoto e confusione sulla versione corretta

• CVE-2026-83844 in Windows Paint: esecuzione di codice via rete senza interazione, CVSS 8.1
• Causa: lettura fuori dai limiti; complessità d'attacco alta, nessun privilegio richiesto
• Versione corretta incerta: 11.2605.91.0 citata prima, ora 11.2609.401.0
• Verificare la build installata e seguire l'advisory Microsoft del 13 ottobre 2026

Microsoft ha pubblicato il 13 ottobre 2026 un advisory su CVE-2026-83844, una vulnerabilità di Windows Paint che potrebbe permettere a un attaccante non autenticato di eseguire codice attraverso la rete, senza alcuna interazione dell’utente. Il punteggio CVSS è 8.1: gravità alta, ma non critica.

Il problema tecnico

La falla deriva da una lettura fuori dai limiti (out-of-bounds read): il software legge dati oltre il confine di memoria previsto. Secondo la valutazione di Microsoft, il vettore di attacco è di rete, non servono privilegi e la complessità è alta. Significa che lo sfruttamento dipende da condizioni che lo rendono più difficile.

La correzione è stata distribuita nel ciclo di aggiornamenti di ottobre, il Patch Tuesday.

Il nodo della versione corretta

Per gli amministratori la questione immediata è verificare che la build corretta dell’app sia arrivata sui dispositivi gestiti. Microsoft aveva indicato inizialmente come versione corretta di Paint la 11.2605.91.0. Alcuni amministratori hanno però segnalato che il Microsoft Store continuava a proporre la 11.2605.81.0, anche dopo controlli degli aggiornamenti e reset della cache dello Store.

L’advisory indica ora come correzione la 11.2609.401.0. Ciò fa pensare che il riferimento precedente fosse sbagliato, ma Microsoft non ha confermato questa ipotesi.

Anche la disponibilità dell’aggiornamento appare disomogenea. Alcuni utenti riferiscono difficoltà a ottenere la build corretta; un partecipante a una discussione su Reddit ha scritto che l’aggiornamento è comparso nel Microsoft Store. Si tratta di segnalazioni singole, che non provano uno stato di rilascio generale. Resta non verificata anche l’ipotesi di una dipendenza dall’area geografica.

Cosa non è chiaro

Una immagine manipolata potrebbe innescare la falla, ma le indicazioni di Microsoft citate parlano di un pacchetto di rete costruito ad hoc e inviato a un servizio vulnerabile. Non sono stati indicati né il servizio esposto né il percorso di attacco completo. Le ipotesi su Copilot o altri componenti sono solo speculazioni.

Cosa fare

• Controllare la versione di Paint effettivamente installata, senza fidarsi del solo messaggio «aggiornato» del Microsoft Store.
• Seguire l’advisory Microsoft, che al momento indica la versione 11.2609.401.0.
• Valutare la rimozione temporanea di Paint dove non serve, come suggerito da Neowin.
• Limitare le immagini da fonti non attendibili può ridurre l’esposizione generale, ma non è una correzione confermata per questo specifico percorso di attacco via rete.

Fonte: Cyber Security News · Foto: Cyber Security News