Paint hat eine ernste Sicherheitslücke, und Windows Update behebt sie nicht

Die meisten Leute würden Paint ganz unten auf die Liste riskanter Software setzen. Microsoft sieht das anders. Am 13. Oktober veröffentlichte der Konzern CVE-2026-83844, einen Lesezugriff außerhalb der Grenzen in Paint, über den ein Angreifer Code auf einem PC über das Netzwerk ausführen könnte, ohne Anmeldung und ohne Zutun des Nutzers. Die Bewertung liegt bei 8,1 von 10. Microsoft sagt, es habe keine Angriffe beobachtet, und ein Erfolg setze tiefes Wissen über das Zielsystem voraus. Ein Feueralarm ist das also nicht. Heikel ist, wie der Fix zu Ihnen kommt.

Paint ist eine Microsoft-Store-App, deshalb haben die Patchday-Updates vom Oktober nichts daran geändert. Die Sicherheitsmeldung nannte zuerst Paint 11.2605.91.0 als korrigierte Version, doch Administratoren stellten fest, dass der Store noch 11.2605.81.0 auslieferte, die den Fix nicht enthält. Inzwischen nennt Microsoft ohne Begründung 11.2609.401.0, während der offizielle CVE-Eintrag weiter die alte Nummer führt. The Hacker News berichtete am 6. November, dass 11.2609.401.0 nun in allen zehn geprüften Ländern die neueste Version ist und ein Testrechner sie über die automatischen Store-Updates erhalten hat. Wie schnell sie bei allen anderen ankommt, weiß niemand.

Verlassen Sie sich also nicht auf eine Meldung, alles sei aktuell, sondern prüfen Sie selbst. Öffnen Sie Einstellungen, dann Apps, dann Installierte Apps, klicken Sie auf die drei Punkte neben Paint und wählen Sie Erweiterte Optionen, um die Version zu sehen. Liegt sie unter 11.2609.401.0, öffnen Sie den Microsoft Store, gehen Sie zur Bibliothek und klicken Sie auf Updates abrufen. Wenn im Haushalt niemand Paint nutzt, ist die Deinstallation über denselben Bildschirm eine vernünftige Alternative.

Store-Apps rutschen genau so leicht durch, und deshalb listet die App-Update-Prüfung von Tendvane, die auf winget aufbaut, veraltete Apps neben den Windows-Updates auf, die Sie ohnehin schon sehen.