Paint tiene un fallo de seguridad grave, y Windows Update no lo va a arreglar

Casi todo el mundo pondría Paint al final de la lista de programas peligrosos. Microsoft no opina igual. El 13 de octubre publicó CVE-2026-83844, una lectura fuera de límites en Paint que podría permitir a un atacante ejecutar código en un PC a través de la red, sin iniciar sesión y sin ayuda del usuario. Tiene una puntuación de 8,1 sobre 10. Microsoft dice que no lo ha visto explotado y que lograrlo exige conocer a fondo el sistema atacado, así que no es para salir corriendo. Lo incómodo es cómo te llega la solución.

Paint es una aplicación de Microsoft Store, de modo que las actualizaciones del Patch Tuesday de octubre no la tocaron. El aviso nombró primero Paint 11.2605.91.0 como versión corregida, pero varios administradores vieron que la Store seguía sirviendo la 11.2605.81.0, que no incluye el arreglo. Microsoft ha cambiado después el aviso para indicar 11.2609.401.0, sin explicar por qué, mientras que el registro CVE oficial mantiene el número antiguo. The Hacker News informó el 6 de noviembre de que la 11.2609.401.0 ya es la versión más reciente en los diez países que comprobó y de que un equipo de pruebas la recibió con las actualizaciones automáticas de la Store. Cuánto tardará en llegar a todos los demás, nadie lo sabe.

Así que no te fíes de un mensaje de "actualizado" y compruébalo tú. Abre Configuración, luego Aplicaciones, luego Aplicaciones instaladas, pulsa los tres puntos junto a Paint y elige Opciones avanzadas para ver la versión. Si es inferior a 11.2609.401.0, abre Microsoft Store, ve a Biblioteca y pulsa Obtener actualizaciones. Si en casa nadie usa Paint, desinstalarlo desde esa misma pantalla es una alternativa razonable.

Las aplicaciones de la Store son justo lo que se escapa sin que nadie se dé cuenta, y por eso la comprobación de actualizaciones de aplicaciones de Tendvane, basada en winget, muestra las aplicaciones desactualizadas junto a las actualizaciones de Windows que ya ves.