A vulnerabilidade no Microsoft Paint (CVE-2026-83844) demonstra que até mesmo um aplicativo aparentemente inofensivo e integrado ao Windows pode representar um risco significativo para a segurança de computadores. Classificada com pontuação CVSS 8.1, a falha permite potencialmente a execução remota de código (RCE), colocando em risco a confidencialidade, a integridade e a disponibilidade dos sistemas afetados.
O aspecto mais preocupante dessa correção, entretanto, está na maneira como a Microsoft distribui a atualização. Diferentemente dos patches tradicionais do sistema operacional, a correção do Paint é disponibilizada pela Microsoft Store. Isso significa que executar o Windows Update e instalar todas as atualizações cumulativas disponíveis não garante que o aplicativo esteja protegido.
A situação merece atenção especial de administradores de sistemas e equipes de segurança que trabalham com ambientes corporativos. Organizações que bloqueiam a Microsoft Store, restringem atualizações de aplicativos ou dependem exclusivamente do WSUS (Windows Server Update Services) podem manter instalações vulneráveis sem perceber.
Como funciona a vulnerabilidade no Paint e seus riscos reais
A CVE-2026-83844 está relacionada a uma falha conhecida como leitura fora dos limites (out-of-bounds read), classificada como CWE-125. Esse tipo de problema acontece quando um programa tenta acessar informações em uma região da memória que ultrapassa os limites de um espaço previamente definido.
Na prática, uma operação incorreta de leitura de memória pode provocar comportamentos inesperados e contribuir para condições que permitem a execução de código controlado por um invasor. No caso do Microsoft Paint, a Microsoft classifica o problema como uma vulnerabilidade de execução remota de código.
A pontuação CVSS 8.1 (alta) merece atenção porque o vetor de avaliação indica ataque pela rede, ausência de privilégios necessários e ausência de interação do usuário. Entretanto, existe um detalhe importante: a complexidade do ataque é considerada alta, o que significa que a exploração depende de condições específicas e não deve ser interpretada como um comprometimento automático de qualquer computador conectado à internet.
Também é importante distinguir possibilidade técnica de exploração comprovada. Os registros disponíveis não indicam confirmação de exploração ativa da vulnerabilidade, portanto, o risco deve ser tratado preventivamente, sem afirmar que existe uma campanha de ataques em andamento.
O perigo de ignorar a Microsoft Store no gerenciamento de segurança
O principal problema operacional está na separação entre os mecanismos de atualização do Windows e os aplicativos modernos distribuídos pela loja.
O Windows Update tradicional é responsável por entregar atualizações do sistema operacional, componentes de segurança e outros pacotes disponibilizados pela infraestrutura de atualização da Microsoft. Já aplicativos empacotados nos formatos AppX e MSIX podem receber atualizações por meio de canais próprios, especialmente a Microsoft Store.
O Paint moderno pertence a essa segunda categoria. Portanto, uma máquina pode apresentar o Windows completamente atualizado e, simultaneamente, continuar executando uma versão vulnerável do aplicativo.
Esse cenário cria uma lacuna importante em empresas que utilizam políticas de bloqueio da loja, imagens corporativas personalizadas ou ambientes administrados exclusivamente pelo WSUS.
O problema também afeta redes com diferentes modelos de gerenciamento. Enquanto alguns computadores recebem atualizações normalmente pela Store, outros podem permanecer com versões antigas por causa de restrições de rede, políticas de grupo ou configurações de gerenciamento de aplicativos.
Para os administradores, a consequência é clara: a conformidade do Windows Update não deve ser utilizada como único indicador de segurança do Microsoft Paint.
A controvérsia das versões e o registro da CVE-2026-83844
Outro ponto que exige atenção dos profissionais de TI é a divergência entre os números de versão divulgados nos registros de segurança.
O registro da vulnerabilidade no NVD (National Vulnerability Database), baseado nas informações inicialmente publicadas pela Microsoft, identifica a versão 11.2605.91.0 como limite para as instalações afetadas. Entretanto, a orientação de correção mais recente da Microsoft estabelece que o Paint precisa estar na versão 11.2609.401.0 ou superior.
Essa diferença não deve ser ignorada. O número 11.2605.91.0 apareceu na documentação inicial como referência para a versão corrigida, mas não chegou a ser disponibilizado no catálogo público da Microsoft Store. Posteriormente, a Microsoft passou a indicar a compilação 11.2609.401.0 como a versão efetivamente corrigida.
Na prática, isso significa que administradores não devem considerar uma instalação protegida apenas porque uma ferramenta de inventário identificou uma versão superior ao limite antigo do registro CVE.
O cenário também pode provocar falsos negativos em plataformas automatizadas de gerenciamento de vulnerabilidades. Se um scanner utilizar exclusivamente a referência antiga, poderá classificar incorretamente determinadas instalações como corrigidas.
A recomendação é adotar o critério mais conservador: qualquer versão anterior à 11.2609.401.0 deve ser tratada como potencialmente vulnerável.
Para auditorias corporativas, é importante atualizar as regras de comparação de versões e verificar se os produtos de inventário e segurança já incorporaram o novo limite. A identificação da CVE deve ser acompanhada pela validação da versão realmente instalada.
Como auditar e atualizar o Paint em todas as contas de usuário
A auditoria do Microsoft Paint exige um cuidado adicional porque aplicativos modernos do Windows podem ser instalados individualmente nos perfis dos usuários.
Isso significa que um computador compartilhado pode apresentar versões diferentes do aplicativo dependendo da conta utilizada. Atualizar o Paint em um perfil não deve ser interpretado automaticamente como confirmação de que todos os outros usuários estão protegidos.
Além disso, existe o conceito de pacote provisionado, utilizado para disponibilizar aplicativos a novos perfis criados no computador. Por isso, a auditoria precisa considerar tanto as instalações existentes quanto os pacotes preparados para futuras contas.
Verificando as versões instaladas com PowerShell
Abra o PowerShell como administrador e execute o comando abaixo para consultar as instalações do Paint disponíveis para os usuários do computador:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Name, Version, PackageUserInformationO resultado apresenta o nome do pacote, sua versão e informações sobre os perfis de usuário associados à instalação.
Para facilitar a identificação dos usuários e seus respectivos estados de instalação, também é possível utilizar:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | ForEach-Object { $Package = $_ foreach ($User in $Package.PackageUserInformation) { [PSCustomObject]@{ Version = $Package.Version SID = $User.UserSecurityId Status = $User.InstallState } } }Esse segundo formato permite identificar os perfis associados ao pacote por meio do SID (Security Identifier), evitando depender de uma propriedade de nome de usuário que não é disponibilizada diretamente nesse objeto.
Agora, para verificar a versão provisionada no Windows, execute:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object DisplayName, VersionO comando consulta os pacotes provisionados na imagem atual do sistema operacional. Essa informação é importante porque uma instalação provisionada desatualizada pode continuar disponibilizando uma versão antiga do aplicativo para novos perfis.
Atenção: os comandos de consulta não realizam nenhuma alteração no sistema. Eles servem exclusivamente para inventário e identificação de instalações que precisam de atualização.
Como instalar a correção pela Microsoft Store
Depois de identificar as versões instaladas, o próximo passo é atualizar o aplicativo.
Em computadores individuais, o procedimento é relativamente simples:
- Abra a Microsoft Store no Windows.
- Acesse a área de downloads e atualizações da loja.
- Selecione a opção para verificar atualizações disponíveis.
- Localize o Microsoft Paint e aguarde a instalação da versão mais recente.
- Abra o aplicativo e consulte a seção de informações para confirmar a versão instalada.
O objetivo é alcançar a compilação 11.2609.401.0 ou superior.
Em ambientes corporativos, administradores também podem utilizar o Microsoft Intune para distribuir e controlar atualizações de aplicativos da Microsoft Store. Uma possibilidade é configurar o Paint como aplicativo obrigatório, utilizando o modelo de aplicativo da Store compatível com o gerenciamento moderno.
Outra alternativa para automação é utilizar o Windows Package Manager (winget), desde que a origem Microsoft Store esteja disponível e autorizada:
winget upgrade --id 9PCFS5B6T72H --source msstore --accept-package-agreements --accept-source-agreementsEsse procedimento solicita a atualização do aplicativo pelo identificador de produto da loja. A execução precisa ser validada no contexto de instalação e gerenciamento utilizado pela organização.
É importante lembrar que a atualização deve ser confirmada em cada perfil relevante. A simples execução de um comando em uma conta administrativa não comprova que todas as instalações individuais foram corrigidas.
Para máquinas nas quais a Microsoft Store está bloqueada, a equipe de TI precisa revisar as políticas de gerenciamento e estabelecer um canal autorizado para receber atualizações. Caso o Paint não seja necessário e não exista uma maneira segura de mantê-lo atualizado, a organização pode avaliar sua remoção, considerando os impactos operacionais e as dependências dos usuários.
Boas práticas para manter ferramentas nativas seguras no Windows
A vulnerabilidade no Microsoft Paint reforça uma lição importante para profissionais de segurança: aplicativos nativos também precisam fazer parte da estratégia de gerenciamento de vulnerabilidades.
Durante muito tempo, equipes de TI concentraram seus esforços de atualização nos componentes principais do Windows, navegadores, antivírus e ferramentas corporativas. Entretanto, a arquitetura moderna do sistema operacional ampliou a quantidade de componentes que recebem atualizações por canais independentes.
Aplicativos distribuídos pela Microsoft Store precisam ser incluídos nos processos de inventário, monitoramento e aplicação de patches. Isso vale especialmente para computadores compartilhados, estações administrativas, dispositivos utilizados por equipes de suporte e máquinas que processam arquivos recebidos externamente.
Também é necessário considerar que a descrição técnica da CVE apresenta uma particularidade: a Microsoft menciona um pacote especialmente elaborado enviado pela rede, enquanto orientações de segurança também descrevem a abertura de uma imagem manipulada como possível caminho de exploração. Como os detalhes públicos sobre o mecanismo interno ainda são limitados, administradores devem evitar presumir que apenas um cenário de exposição merece atenção.
Até que todas as instalações estejam corrigidas, é recomendável tratar imagens recebidas de fontes externas como conteúdo não confiável, manter a proteção antivírus ativa e evitar abrir arquivos suspeitos.
Outra medida importante é revisar periodicamente as políticas de bloqueio da Microsoft Store. Restringir a loja pode fazer sentido em determinados ambientes corporativos, mas essa decisão precisa vir acompanhada de uma estratégia alternativa para distribuir atualizações de segurança dos aplicativos.
O Windows Update atualizado não significa necessariamente que todos os aplicativos do computador estejam protegidos. Essa distinção precisa fazer parte das rotinas de auditoria e conformidade das equipes de infraestrutura.
A recomendação imediata é executar os comandos PowerShell apresentados neste artigo, verificar as instalações existentes e confirmar se o Microsoft Paint está na versão 11.2609.401.0 ou superior.
Se você administra computadores Windows em uma empresa, não espere pela próxima atualização cumulativa para verificar essa situação. Faça o inventário dos aplicativos da Microsoft Store e incorpore essas verificações à sua rotina de segurança.