Paint corrigido não é sinônimo de Windows atualizado: confira cada pacote

A correção da CVE-2026-83844 no Microsoft Paint está disponível pela Microsoft Store, e atualizar apenas o Windows pelo Windows Update não entrega esse conserto.[16] O aviso da Microsoft aponta a versão 11.2609.401.0 como corrigida.[16] O caso mostra por que a conformidade de um desktop não cabe em uma única informação de atualização do sistema operacional.

O que muda para quem desenvolve

A reportagem registra uma divergência: enquanto o aviso de segurança aponta 11.2609.401.0, o registro CVE ainda considera afetadas versões abaixo de 11.2605.91.0.[16] Um scanner baseado apenas nesse registro pode encerrar o alerta antes de o aplicativo atingir a versão indicada no aviso mais recente.[16] Minha leitura é que uma conclusão automatizada precisa preservar a origem do critério, especialmente quando fontes do próprio fabricante divergem.

A validação também deve incluir pacotes do Paint de todos os usuários e a cópia provisionada para novas contas, não apenas o aplicativo da sessão atual.[16] Isso transforma uma pergunta aparentemente simples, “qual versão está instalada?”, em um inventário com múltiplas instâncias.

Como aplicar

Separe três conjuntos de evidências: versão do sistema, aplicativos distribuídos pela Store e pacotes presentes por usuário ou no provisionamento. Para este aviso, associe cada cópia encontrada ao limite de versão adotado e registre a razão da escolha. Não reduza resultados diferentes a um único estado verde.

O fluxo recomendado na reportagem é atualizar pela Store ou por sua verificação de atualização no gerenciamento de dispositivos e repetir o inventário.[16] Faça isso primeiro em um grupo controlado, acompanhando disponibilidade da atualização e funcionamento do aplicativo. Depois expanda com um critério claro de conclusão.

Um experimento verificável em ambiente de teste é comparar o inventário de uma conta existente com o de uma nova conta criada após a atualização. O objetivo é observar se o provisionamento e os pacotes por usuário estão coerentes, sem abrir arquivos suspeitos ou tentar explorar a vulnerabilidade.

Cuidados e limites

O defeito é descrito como leitura fora dos limites, com possibilidade de execução de código e CVSS 8.1.[16] Na consulta relatada, não estava no catálogo KEV e não havia exploração conhecida na divulgação original.[16] Não trate este caso como equivalente a um alerta com ataque já observado.

O aviso descreve exploração pela rede, mas não identifica claramente o serviço envolvido.[16] Essa lacuna não deve ser preenchida com uma cadeia de ataque imaginada.

A recomendação é fechar o que pode ser demonstrado: cada cópia relevante alcançou a referência corrigida e o processo de atualização passou a cobrir esse canal. Um scanner é uma entrada para a decisão, não a decisão inteira.

Fonte

[16] Fonte: The Hacker News