Paint ma poważną lukę bezpieczeństwa, a Windows Update jej nie naprawi

Większość ludzi umieściłaby Painta na samym końcu listy ryzykownych programów. Microsoft ma inne zdanie. 13 października firma opublikowała CVE-2026-83844, błąd odczytu poza zakresem w programie Paint, który mógłby pozwolić atakującemu uruchomić kod na komputerze przez sieć, bez logowania i bez udziału użytkownika. Ocena to 8,1 na 10. Microsoft twierdzi, że nie widział wykorzystania luki, a skuteczny atak wymaga dogłębnej znajomości atakowanego systemu, więc to nie jest alarm pożarowy. Kłopot polega na tym, jak poprawka do was trafia.

Paint to aplikacja z Microsoft Store, więc październikowe aktualizacje z Patch Tuesday w ogóle go nie objęły. Biuletyn początkowo wskazywał Paint 11.2605.91.0 jako wersję z poprawką, ale administratorzy zauważyli, że Store nadal wydawał wersję 11.2605.81.0, która poprawki nie zawiera. Microsoft zmienił potem biuletyn i wskazuje teraz 11.2609.401.0, nie wyjaśniając dlaczego, a oficjalny wpis CVE wciąż podaje stary numer. The Hacker News napisał 6 listopada, że 11.2609.401.0 jest już najnowszą wersją we wszystkich dziesięciu sprawdzonych krajach, a jeden komputer testowy pobrał ją przez automatyczne aktualizacje Store. Jak szybko dotrze do wszystkich pozostałych, nie wiadomo.

Nie ufajcie więc komunikatowi, że wszystko jest aktualne, tylko sprawdźcie sami. Otwórzcie Ustawienia, potem Aplikacje, potem Zainstalowane aplikacje, kliknijcie trzy kropki obok Painta i wybierzcie Opcje zaawansowane, żeby zobaczyć wersję. Jeśli jest niższa niż 11.2609.401.0, otwórzcie Microsoft Store, przejdźcie do Biblioteki i kliknijcie Pobierz aktualizacje. Jeśli nikt w domu nie korzysta z Painta, odinstalowanie go z tego samego ekranu to rozsądna alternatywa.

Aplikacje ze Store łatwo przeoczyć, dlatego sprawdzanie aktualizacji aplikacji w Tendvane, oparte na winget, pokazuje przestarzałe aplikacje obok aktualizacji Windows, które już widzicie.