Microsoft ha publicado una corrección para la vulnerabilidad CVE-2026-83844 en Windows Paint, que permite ejecutar código arbitrario de forma remota. Un aspecto clave: el parche se distribuye exclusivamente a través de Microsoft Store, y no mediante el mecanismo habitual de Windows Update. Esto significa que el ciclo estándar de instalación de actualizaciones de seguridad no cerrará esta brecha: los administradores deben asegurarse de forma independiente de que todas las copias de Paint en los sistemas gestionados estén actualizadas a la versión 11.2609.401.0 o posterior.
Esencia técnica de la vulnerabilidad
Según los datos de la investigación de RFF, CVE-2026-83844 es un error de lectura fuera de los límites del búfer (out-of-bounds read) que Microsoft clasifica como una vulnerabilidad de ejecución remota de código. La entrada en la base NVD y el aviso de seguridad de Microsoft contienen la descripción oficial de la vulnerabilidad.
En torno a la evaluación de la gravedad y el vector de ataque se ha generado una situación contradictoria. En el boletín original del 13 de octubre de 2026, Microsoft indicaba una puntuación CVSS 8.1 con vector de ataque de red y sin necesidad de interacción del usuario. Sin embargo, según la investigación actualizada de RFF, el 7 de noviembre de 2026 Microsoft cambió la puntuación a CVSS 7.0, indicando un vector de ataque local y la necesidad de interacción del usuario. Esto cambia sustancialmente el modelo de amenaza: en lugar de un ataque completamente remoto sin participación de la víctima, podría tratarse de un escenario que requiere determinadas acciones por parte del usuario.
La descripción del mecanismo de explotación también sigue sin estar clara. En el FAQ del boletín de Microsoft se menciona un «paquete de red especialmente preparado, enviado al servicio vulnerable», pero no se indica qué servicio en concreto, y el boletín no incluye más detalles. El medio Neowin describía un vector basado en la apertura de una imagen especialmente preparada, pero este escenario no está confirmado por el boletín de Microsoft.
Confusión con las versiones y riesgos para los escáneres
La historia del parche vino acompañada de una gran confusión en los números de versión, lo que crea problemas reales para la gestión automatizada de vulnerabilidades.
Inicialmente, el boletín de Microsoft mencionaba como corregida la versión 11.2605.91.0. Sin embargo, como se desprende de la pregunta en Microsoft Q&A, esta versión no estaba disponible en Microsoft Store: la tienda solo ofrecía el build más antiguo 11.2605.81.0. Posteriormente, Microsoft actualizó el boletín indicando como versión corregida la 11.2609.401.0, pero sin marcar este cambio en el historial de revisiones.
Según la investigación de RFF, la entrada de CVE también fue actualizada posteriormente y ahora señala como vulnerables las versiones inferiores a la 11.2609.401.0. Sin embargo, en el momento de la publicación de la investigación, la entrada de NVD seguía en estado «Undergoing Analysis», sin configuración de las versiones afectadas. Esto significa que los escáneres de vulnerabilidades que se basan en los datos de NVD pueden considerar erróneamente como protegidos sistemas que en realidad son vulnerables. Los administradores deben comprobar las versiones de Paint de forma manual, sin confiar exclusivamente en las herramientas automatizadas.
Particularidades de comprobación y actualización
Las aplicaciones de Microsoft Store se instalan por separado para cada cuenta de usuario. Además, Windows almacena una llamada copia «provisioned», que se instala automáticamente para cada usuario nuevo. Comprobar solo la cuenta actual puede dejar pasar copias vulnerables de Paint de otros usuarios del sistema.
Para comprobar por completo todas las copias de Paint es necesario ejecutar en PowerShell con privilegios de administrador dos comandos:
Comprobación de las copias de todos los usuarios:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Comprobación de la copia provisioned:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
El parámetro -AllUsers es de importancia crítica: sin él, el comando mostrará solo la copia del usuario actual.
Recomendaciones de mitigación
- Actualice Paint a través de Microsoft Store a la versión 11.2609.401.0 o posterior. En entornos con Intune o herramientas similares de gestión de dispositivos, utilice el mecanismo de escaneo de actualizaciones de aplicaciones de Store.
- Tras la actualización, ejecute de nuevo ambos comandos de PowerShell y asegúrese de que todas las copias —para cada usuario y la provisioned— estén actualizadas.
- No confíe en los escáneres automáticos de vulnerabilidades como único indicador: los datos de NVD pueden estar incompletos.
- Si Paint no se utiliza en las estaciones de trabajo, considere eliminarlo para todos los usuarios y de los paquetes provisioned como medida adicional para reducir la superficie de ataque.
Anteriormente ya cubrimos el ciclo de actualizaciones de octubre de Microsoft en el material Patch Tuesday octubre 2026, en el marco del cual también se publicó el boletín original sobre CVE-2026-83844.
La principal conclusión práctica es que el proceso estándar de instalación de actualizaciones de Windows no cierra esta vulnerabilidad. Los administradores de entornos corporativos deben comprobar por separado las versiones de Paint en todos los sistemas gestionados, utilizando los comandos de PowerShell indicados, e iniciar la actualización a través de Microsoft Store o de las herramientas de gestión de dispositivos cuando sea necesario.
