Se ha detectado una vulnerabilidad en Microsoft Paint (CVE-2026-83844) que permitiría a un atacante no autenticado ejecutar código a través de una red sin necesidad de interacción por parte del usuario. Aunque tiene una puntuación CVSS de 8.1, clasificándola como de severidad alta, la gestión de los parches se ha visto complicada para los administradores de Windows debido a confusiones sobre la versión corregida del programa.

La vulnerabilidad de Windows Paint de Microsoft, CVE-2026-83844, podría permitir que un atacante no autenticado ejecute código a través de una red sin interacción del usuario.

El fallo tiene una puntuación CVSS de 8.1, lo que lo sitúa en la categoría de severidad Alta en lugar de Crítica. Sin embargo, la confusión sobre la versión corregida de Paint ha complicado las comprobaciones de parches para los administradores de Windows.

La vulnerabilidad proviene de una lectura fuera de límites, un error de memoria en el que el software lee más allá de su límite previsto.

Microsoft publicó el aviso el 13 de octubre de 2026. Su evaluación indica un vector de ataque de red, que no requiere privilegios y una complejidad de ataque alta, lo que significa que el éxito de la explotación depende de condiciones que hacen que el ataque sea más difícil de llevar a cabo.

Vulnerabilidad RCE de 0 clics en Windows Paint

La revelación formó parte del ciclo de actualización de octubre, cubierto en el informe de Microsoft October Patch Tuesday de Cybersecurity News. Para ti, si eres administrador, la preocupación inmediata no es simplemente si existe una actualización, sino si la compilación corregida de la aplicación ha llegado realmente a los dispositivos gestionados.

Microsoft enumeró inicialmente la versión de Paint 11.2605.91.0 como la versión corregida. Los administradores informaron que la Microsoft Store seguía ofreciendo la 11.2605.81.0, incluso después de realizar comprobaciones de actualización y restablecer la caché de la tienda.

El aviso de Microsoft señaló la 11.2609.401.0 como la corrección, sugiriendo que la referencia a la versión anterior podría haber sido incorrecta. Microsoft no ha confirmado esa explicación.

La disponibilidad de la actualización también parece inconsistente. Algunos administradores informaron dificultades para obtener una compilación corregida, mientras que un participante en la discusión de Reddit dijo que la actualización ya estaba disponible a través de la Microsoft Store. Estos informes individuales no establecen un estado de despliegue universal. Las afirmaciones de que la disponibilidad depende de la región también siguen sin verificarse.

Una imagen manipulada podría activar el fallo, pero la guía citada de Microsoft describe un paquete de red manipulado enviado a un servicio afectado. La discusión en Hacker News resalta el detalle faltante: no se ha identificado ni el servicio expuesto ni la ruta completa del ataque. Las sugerencias que involucran a Copilot u otros componentes son especulaciones.

Deberías comprobar la versión de Paint instalada en lugar de confiar únicamente en un mensaje de "actualizado". Neowin recomienda seguir el aviso actual de Microsoft y considerar la eliminación temporal donde Paint sea innecesario. Restringir las imágenes no confiables puede reducir la exposición general, pero no es una solución confirmada para esta ruta de ataque de red específica.

La cobertura separada de Cybersecurity News sobre vulnerabilidades PNG proporciona contexto relacionado sobre la seguridad del software de imágenes. Esos fallos son independientes de esta vulnerabilidad de Paint.

Fuentes:
https://cybersecuritynews.com/windows-paint-rce-vulnerability/