Microsoft corrige RCE no Paint, mas o Windows Update não entrega a correção

A CVE-2026-83844 é uma leitura fora dos limites (out-of-bounds read) no Windows Paint que pode levar a execução remota de código pela rede. A Microsoft classifica como Important, com CVSS 8.1, e diz que um ataque bem-sucedido exige conhecimento profundo do sistema alvo. Quando a falha foi publicada, em 13 de outubro, não era conhecida como explorada nem estava divulgada publicamente. A Microsoft descreve o vetor como um pacote especialmente criado enviado a um serviço afetado pela rede, sem login e sem ajuda do usuário, mas não diz qual serviço.

O ponto operacional é que o Paint recebe a correção só por atualização da Microsoft Store, não pelo Windows Update. A build corrigida, segundo o aviso de segurança, é a 11.2609.401.0. O registro CVE e a entrada do NVD ainda listam o Paint como afetado apenas abaixo da 11.2605.91.0. Um scanner que lê o registro vai tratar como corrigida qualquer build da 11.2605.91.0 em diante, enquanto a build 11.2609.401.0 passa nos dois critérios. Na semana anterior, o aviso trazia a 11.2605.91.0 como corrigida, segundo uma pergunta no Microsoft Q&A, e o histórico de revisões mostra só a entrada de 13 de outubro, sem nota sobre a mudança.

Para quem opera gestão de vulnerabilidades, o risco é o falso negativo. Um inventário que depende só do Windows Update ou do número do registro CVE pode dar a máquina como protegida quando ainda roda uma build sem a correção. Vale olhar todos os perfis de usuário e a cópia provisionada, e usar a 11.2609.401.0 como referência. É uma leitura editorial, não recomendação da Microsoft, que não lista workaround.