Producto(s) afectado(s):
| Producto | Versiones afectadas |
| Microsoft Paint (app de Microsoft Store) | Desde 11.0.0.0 hasta anteriores a 11.2609.401.0 |
El registro CVE indica afectadas hasta menos de 11.2605.91.0; el umbral operativo confirmado en el aviso del proveedor es 11.2609.401.0 o posterior.
Descripción
Se ha publicado una vulnerabilidad de severidad alta (CVSSv3.1 8.1 – ALTO) en Microsoft Paint, el editor de imágenes incluido por defecto en Windows. La vulnerabilidad ha sido etiquetada como CVE-2026-83844, es del tipo lectura fuera de límites (CWE-125) y el proveedor la categoriza como ejecución remota de código (Remote Code Execution), con severidad Important. El vector CVSS publicado por el proveedor es exactamente CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
Según el aviso, un atacante no autenticado podría enviar un paquete especialmente diseñado a “un servicio afectado” por la red y ejecutar código sin interacción del usuario. El proveedor no identifica ese servicio, puerto ni protocolo, y no confirma que baste con abrir una imagen. No se afirma aquí que Paint exponga un servicio de red; el FAQ parece el texto típico de un servicio de red aplicado a un editor de imágenes, lo que deja una inconsistencia sin aclarar en el aviso.
La lectura coherente con un editor de imágenes —y con una lectura fuera de límites— es que un usuario abra una imagen especialmente diseñada con Paint. Según la guía de CVSS, las fallas que requieren recibir o abrir contenido malicioso se puntúan como Local (AV:L) y con interacción del usuario (UI:R), no como Network ni UI:None, independientemente de si el archivo llegó por correo, un enlace o un dispositivo extraíble. Además, Paint no es el visor de imágenes predeterminado de Windows: no basta con hacer doble clic en una imagen; alguien tiene que elegir explícitamente “Abrir con Paint” o abrirla desde la propia aplicación. Una posible explicación del AV:N es la facilidad de enviar una imagen y lograr que la abran; aun así, por definición de CVSS eso sigue siendo explotación local. Se reproduce el vector oficial para que cada lector evalúe el criterio del proveedor.
El proveedor indica complejidad de ataque alta (AC:H): la explotación exitosa exige un conocimiento profundo del sistema y no está garantizada. Al 06/11/2026 no hay explotación conocida ni divulgación pública previa; el proveedor la califica como Exploitation Less Likely. No figura en catálogos de vulnerabilidades explotadas conocidas. El EPSS es 0,73 % (percentil 54,5 %, al 05/11/2026).
Mitigación
El parche no llega por Windows Update: se entrega cuando Microsoft Store actualiza Paint. Un Windows actualizado no implica que Paint esté al día. Se recomienda:
- Comprobar la versión instalada por cada usuario y el paquete aprovisionado (perfiles nuevos).
- En entornos administrados, forzar la actualización de aplicaciones de Microsoft Store.
- Donde Paint no se necesite, valorar desinstalarlo para todos los usuarios y quitar el paquete aprovisionado, de modo que los perfiles nuevos no lo recuperen (probar antes).
- Mientras tanto, no abrir con Paint archivos de imagen de origen no confiable.
Comprobación (PowerShell con privilegios elevados):
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, PackageUserInformationGet-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Cualquier versión anterior a 11.2609.401.0 se considera pendiente de actualizar.
Solución
La solución consiste en actualizar Microsoft Paint a la build 11.2609.401.0 o posterior desde Microsoft Store y verificar que la actualización llegó a cada perfil de usuario y al paquete aprovisionado. El registro CVE menciona el umbral 11.2605.91.0; el build fijo publicado en el aviso del proveedor —y el dato operativo a usar— es 11.2609.401.0.
Para info sobre cómo actualizar, visita el siguiente enlace:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844
Información adicional:
- Microsoft — CVE-2026-83844 (Windows Paint Remote Code Execution Vulnerability):
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844 - CVE — CVE-2026-83844:
https://www.cve.org/CVERecord?id=CVE-2026-83844 - Microsoft Store — Paint:
https://apps.microsoft.com/detail/9pcfs5b6t72h - FIRST — CVSS v3.1 User Guide:
https://www.first.org/cvss/v3.1/user-guide