Microsoft hat einen Patch für die Schwachstelle CVE-2026-83844 in Windows Paint veröffentlicht, die die Remote Code Execution von beliebigem Code ermöglicht. Das Entscheidende: Der Patch wird ausschließlich über den Microsoft Store verteilt und nicht über den gewohnten Mechanismus von Windows Update. Das bedeutet, dass der Standardzyklus der Installation von Sicherheitsupdates diese Lücke nicht schließt – Administratoren müssen gesondert sicherstellen, dass alle Paint-Installationen auf verwalteten Systemen auf Version 11.2609.401.0 oder neuer aktualisiert sind.
Technische Details der Schwachstelle
Nach Angaben der RFF-Analyse handelt es sich bei CVE-2026-83844 um einen Fehler vom Typ out-of-bounds read, den Microsoft als Remote Code Execution-Schwachstelle einstuft. Der Eintrag in der NVD-Datenbank und der Sicherheitshinweis von Microsoft enthalten die offizielle Beschreibung der Schwachstelle.
Rund um die Einstufung der Schwere und den Angriffsvektor ist eine widersprüchliche Situation entstanden. Im ursprünglichen Sicherheitshinweis vom 13. Oktober 2026 gab Microsoft eine Bewertung von CVSS 8.1 mit Netzwerkangriffsvektor und ohne notwendige Benutzerinteraktion an. Nach der aktualisierten RFF-Analyse änderte Microsoft am 7. November 2026 die Bewertung auf CVSS 7.0 und gab einen lokalen Angriffsvektor sowie erforderliche Benutzerinteraktion an. Das verändert das Bedrohungsmodell erheblich: Statt eines vollständig entfernten Angriffs ohne Zutun des Opfers könnte es sich nun um ein Szenario handeln, das bestimmte Aktionen des Benutzers voraussetzt.
Die Beschreibung des Exploit-Mechanismus bleibt ebenfalls unklar. In den FAQ des Microsoft-Sicherheitshinweises ist von einem „speziell präparierten Netzwerkpaket, das an einen verwundbaren Dienst gesendet wird“ die Rede, jedoch wird der konkrete Dienst nicht genannt und der Hinweis enthält keine weiteren Details. Das Magazin Neowin beschrieb einen Vektor über das Öffnen eines speziell präparierten Bildes, dieses Szenario ist jedoch im Microsoft-Sicherheitshinweis nicht bestätigt.
Versionsverwirrung und Risiken für Scanner
Die Geschichte rund um den Patch wurde von erheblicher Verwirrung bei den Versionsnummern begleitet, was reale Probleme für das automatisierte Schwachstellenmanagement erzeugt.
Im ursprünglichen Sicherheitshinweis nannte Microsoft die Version 11.2605.91.0 als behoben. Wie aus der Frage auf Microsoft Q&A hervorgeht, war diese Version jedoch im Microsoft Store nicht verfügbar – der Store bot nur den älteren Build 11.2605.81.0 an. Später aktualisierte Microsoft den Sicherheitshinweis und gab die Version 11.2609.401.0 als behoben an, allerdings ohne diesen Wechsel in der Revisionshistorie zu vermerken.
Nach den Angaben der RFF-Analyse wurde der CVE-Eintrag anschließend ebenfalls aktualisiert und weist nun Versionen unterhalb von 11.2609.401.0 als verwundbar aus. Zum Zeitpunkt der Veröffentlichung der Analyse befand sich der NVD-Eintrag jedoch weiterhin im Status „Undergoing Analysis“ ohne Konfiguration der betroffenen Versionen. Das bedeutet, dass Schwachstellenscanner, die sich auf NVD-Daten stützen, verwundbare Systeme irrtümlich als geschützt einstufen könnten. Administratoren sollten die Versionen von Paint manuell überprüfen und sich nicht ausschließlich auf automatisierte Werkzeuge verlassen.
Besonderheiten bei Prüfung und Update
Apps aus dem Microsoft Store werden separat für jedes Benutzerkonto installiert. Zusätzlich speichert Windows eine sogenannte „provisioned“-Kopie, die für jeden neuen Benutzer automatisch installiert wird. Eine Prüfung nur des aktuellen Benutzerkontos kann verwundbare Paint-Kopien bei anderen Nutzern des Systems übersehen.
Für eine vollständige Prüfung aller Paint-Installationen müssen in PowerShell mit Administratorrechten zwei Befehle ausgeführt werden:
Prüfung der Kopien aller Benutzer:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Prüfung der provisioned-Kopie:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Der Parameter -AllUsers ist kritisch wichtig: Ohne ihn zeigt der Befehl nur die Kopie des aktuellen Benutzers an.
Empfehlungen zur Behebung
- Aktualisieren Sie Paint über den Microsoft Store auf Version 11.2609.401.0 oder neuer. In Umgebungen mit Intune oder ähnlichen Device-Management-Werkzeugen nutzen Sie den Mechanismus zur Prüfung von Updates für Store-Apps.
- Führen Sie nach dem Update beide PowerShell-Befehle erneut aus und stellen Sie sicher, dass alle Kopien – für jeden Benutzer und die provisioned-Kopie – aktualisiert sind.
- Verlassen Sie sich nicht auf automatische Schwachstellenscanner als einzigen Indikator: Die NVD-Daten können unvollständig sein.
- Wenn Paint auf Arbeitsstationen nicht genutzt wird, ziehen Sie dessen Entfernung für alle Benutzer und aus dem provisioned-Paket als zusätzliche Maßnahme zur Reduzierung der Angriffsfläche in Betracht.
Wir haben den Oktober-Zyklus der Microsoft-Updates bereits im Beitrag Patch Tuesday Oktober 2026 behandelt, in dessen Rahmen auch der ursprüngliche Sicherheitshinweis zu CVE-2026-83844 veröffentlicht wurde.
Die wichtigste praktische Erkenntnis: Der Standardprozess der Installation von Windows-Updates schließt diese Schwachstelle nicht. Administratoren von Unternehmensumgebungen müssen die Paint-Versionen auf allen verwalteten Systemen gesondert mit den oben genannten PowerShell-Befehlen prüfen und bei Bedarf ein Update über den Microsoft Store oder Device-Management-Werkzeuge anstoßen.
