Uma vulnerabilidade de alta gravidade identificada no Microsoft Paint pode permitir a execução remota de código em computadores Windows. Registrada como CVE-2026-83844, a falha recebeu pontuação 8,1 na escala CVSS e foi corrigida pela Microsoft por meio de uma atualização distribuída pela Microsoft Store.
O problema foi divulgado em 13 de outubro de 2026, durante o ciclo mensal de atualizações de segurança da empresa. Apesar da classificação elevada, a Microsoft considera sua exploração pouco provável, principalmente devido à complexidade técnica necessária para realizar um ataque bem-sucedido.
Até 6 de novembro, não havia confirmação pública de exploração ativa da vulnerabilidade. A falha também não constava no catálogo de vulnerabilidades conhecidamente exploradas da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA).
A situação ganhou atenção adicional após pesquisadores identificarem inconsistências entre as versões do Paint consideradas corrigidas e aquelas efetivamente disponíveis para instalação. A Microsoft passou a indicar a compilação 11.2609.401.0 como referência para a correção, mas sua distribuição pela Microsoft Store apresentou atrasos em diferentes regiões.
O episódio chama atenção para uma questão frequentemente negligenciada na segurança de computadores: manter o Windows atualizado não significa, necessariamente, que todos os aplicativos instalados estejam protegidos.
Como funciona a vulnerabilidade
A CVE-2026-83844 está associada a uma falha de leitura de memória fora dos limites permitidos, tecnicamente denominada Out-of-bounds Read e identificada pela classificação CWE-125.
Esse problema ocorre quando um programa tenta acessar informações localizadas além da região de memória reservada para determinada operação.
Durante o processamento de dados, aplicações utilizam estruturas de memória com limites definidos. Essas restrições são fundamentais para preservar a integridade das operações e impedir que informações pertencentes a outras regiões sejam acessadas indevidamente.
Quando um aplicativo não verifica corretamente esses limites, determinados dados podem provocar leituras inválidas, expondo informações armazenadas na memória ou causando comportamentos inesperados.
As consequências mais comuns desse tipo de vulnerabilidade incluem vazamento de informações e encerramento anormal do programa.
Entretanto, a Microsoft classificou a falha do Paint como uma vulnerabilidade de execução remota de código, conhecida pela sigla RCE (Remote Code Execution).
Essa classificação é tecnicamente relevante porque uma leitura fora dos limites, isoladamente, não costuma oferecer capacidade direta de execução de código.
Para que esse resultado seja possível, normalmente são necessárias condições adicionais, como a combinação com outras falhas, comportamentos específicos do gerenciamento de memória ou características particulares da implementação vulnerável.
O comunicado público da Microsoft não apresenta detalhes suficientes para explicar como a leitura inválida poderia resultar na execução de instruções controladas por um atacante.
Portanto, embora a classificação RCE deva ser considerada na avaliação de risco, o mecanismo exato que permitiria transformar a falha de leitura em execução de código permanece sem esclarecimento público.
Essa distinção é importante para evitar interpretações equivocadas sobre o funcionamento da vulnerabilidade e suas reais possibilidades de exploração.
Exploração pela rede sem interação do usuário
Uma das características mais relevantes da CVE-2026-83844 está relacionada às condições de exploração descritas pela Microsoft.
Segundo o comunicado oficial, um atacante não autenticado poderia explorar a vulnerabilidade enviando um pacote especialmente preparado a um serviço afetado por meio da rede.
O vetor CVSS 3.1 informado para a falha é:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
A classificação representa as seguintes características:
-
AV — Vetor de rede: a exploração pode ocorrer por meio de comunicação pela rede.
-
AC — Alta complexidade: o ataque depende de condições específicas e conhecimento técnico aprofundado.
-
PR — Sem privilégios: o atacante não precisa possuir permissões prévias no sistema.
-
UI — Sem interação do usuário: a exploração descrita não exige uma ação da vítima.
-
S — Escopo inalterado: o impacto permanece dentro do escopo de segurança do componente vulnerável.
-
C — Confidencialidade elevada: possibilidade de comprometimento significativo de informações.
-
I — Integridade elevada: possibilidade de modificações não autorizadas.
-
A — Disponibilidade elevada: possibilidade de comprometimento significativo da disponibilidade.
Esses indicadores explicam a pontuação de 8,1 atribuída à vulnerabilidade.
Entretanto, existe uma particularidade técnica ainda não esclarecida.
O Microsoft Paint é um editor de imagens utilizado localmente e não funciona, normalmente, como um serviço de rede destinado a receber conexões externas.
Apesar disso, a descrição publicada pela Microsoft menciona o envio de um pacote especialmente preparado a um serviço afetado, sem identificar qual componente receberia esses dados ou como eles alcançariam a aplicação vulnerável.
A ausência dessa informação impede determinar com precisão quais configurações ou condições seriam necessárias para realizar o ataque.
Também não existem detalhes públicos suficientes para reproduzir a cadeia de exploração descrita pelo fabricante.
Dessa forma, o vetor CVSS deve ser interpretado como a classificação técnica oficial da vulnerabilidade, e não como demonstração de que qualquer computador conectado à internet possa ser comprometido diretamente.
Quais seriam os impactos de um ataque?
Uma exploração bem-sucedida de execução remota de código pode permitir que um invasor execute instruções maliciosas no equipamento afetado.
Dependendo das permissões disponíveis e das características do sistema, isso pode resultar em acesso não autorizado a arquivos, modificações de informações, execução de programas adicionais ou interrupção de serviços.
Em ambientes corporativos, o comprometimento de uma estação de trabalho pode ter consequências que ultrapassam o aplicativo inicialmente explorado.
Computadores utilizados por funcionários frequentemente possuem acesso a documentos internos, plataformas administrativas, sistemas de comunicação e recursos compartilhados da organização.
Um invasor que obtenha capacidade de executar código nesse ambiente poderá tentar utilizar os acessos disponíveis para ampliar suas atividades.
Entre os possíveis impactos estão a exposição de informações corporativas, a alteração de dados e a tentativa de movimentação lateral para outros equipamentos da rede.
A extensão de um eventual comprometimento dependeria dos privilégios do processo explorado, das permissões do usuário e dos mecanismos de proteção presentes no computador.
No caso específico da CVE-2026-83844, esses impactos representam possibilidades associadas à classificação da vulnerabilidade, e não consequências observadas em incidentes confirmados.
Até a data desta atualização, não havia evidências públicas de campanhas maliciosas, vazamentos de dados ou invasões atribuídas à exploração da falha no Microsoft Paint.
Microsoft disponibiliza correção pela Microsoft Store
A Microsoft disponibilizou uma atualização de segurança destinada a corrigir a CVE-2026-83844.
A versão 11.2609.401.0 do Microsoft Paint é a compilação atualmente indicada no comunicado de segurança como corrigida.
Diferentemente das atualizações tradicionais do Windows, o pacote é distribuído pela Microsoft Store.
Essa distinção tem implicações práticas para usuários e administradores de sistemas.
Um computador pode estar com todas as atualizações cumulativas do Windows instaladas e, ainda assim, executar uma versão vulnerável do Paint.
A situação se torna especialmente relevante em organizações que possuem políticas específicas para aplicativos da Microsoft Store ou utilizam ferramentas centralizadas de gerenciamento de dispositivos.
Em 6 de novembro, uma investigação publicada pelo The Hacker News revelou que a distribuição da correção havia apresentado inconsistências.
Brian Vitko, pesquisador da empresa RFF, verificou as versões disponibilizadas pela Microsoft Store em seis países. Durante os testes realizados no início de novembro, a compilação mais recente oferecida era a 11.2605.81.0, anterior à versão corrigida.
Posteriormente, o The Hacker News realizou novas verificações em dez países e identificou a versão 11.2609.401.0 disponível em todos eles.
Uma máquina virtual utilizada por Vitko também recebeu automaticamente a atualização.
Os resultados indicam que a distribuição da correção avançou, embora não permitam determinar quando todos os computadores receberão a nova versão.
Por esse motivo, a recomendação é verificar diretamente a compilação instalada, em vez de considerar o dispositivo protegido apenas porque a Microsoft Store informa que não existem atualizações pendentes.
Divergência entre versões pode afetar scanners de vulnerabilidades
Outro aspecto relevante envolve uma inconsistência entre os registros públicos da CVE-2026-83844.
O registro CVE informa como vulneráveis as versões do Microsoft Paint anteriores à compilação 11.2605.91.0.
Entretanto, o comunicado de segurança da Microsoft passou a indicar a versão 11.2609.401.0 como referência para a correção.
A diferença merece atenção porque ferramentas automatizadas de gerenciamento de vulnerabilidades frequentemente utilizam registros CVE para identificar softwares afetados.
Quando uma ferramenta compara exclusivamente a versão instalada com o intervalo informado no registro, existe a possibilidade de apresentar um resultado incorreto.
Por exemplo, uma instalação que possua versão superior à 11.2605.91.0, mas inferior à 11.2609.401.0, poderia ser considerada corrigida por um mecanismo que utiliza apenas o limite inicialmente publicado.
O The Hacker News também identificou que o número da versão corrigida havia sido alterado no comunicado oficial sem uma explicação correspondente no histórico público de revisões.
A situação evidencia a importância de verificar informações diretamente nas orientações mais recentes do fabricante.
Para a CVE-2026-83844, a referência recomendada é a versão 11.2609.401.0 ou posterior.
Em ambientes corporativos, a validação deve considerar tanto as informações dos scanners quanto a versão efetivamente instalada nos equipamentos.
A identificação automatizada continua sendo uma ferramenta fundamental para a gestão de vulnerabilidades, mas seus resultados precisam ser interpretados considerando a confiabilidade e a atualização das fontes utilizadas.
Como verificar se o Microsoft Paint está atualizado
A principal medida de proteção contra a CVE-2026-83844 é confirmar que o Microsoft Paint utiliza a compilação corrigida.
Em computadores pessoais, a atualização pode ser realizada diretamente pela Microsoft Store.
Após a instalação, é importante verificar a versão disponível nas informações do aplicativo.
Em ambientes corporativos, a identificação pode exigir procedimentos adicionais, especialmente quando diferentes contas utilizam o mesmo equipamento.
Aplicativos distribuídos pela Microsoft Store podem possuir instalações associadas a múltiplos usuários. O Windows também pode manter pacotes provisionados, destinados à instalação automática quando novos perfis são criados.
Isso significa que verificar apenas a conta atualmente conectada pode não identificar todas as versões presentes no computador.
Administradores podem utilizar o PowerShell para consultar as instalações do Paint.
Verificar as versões instaladas para os usuários:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, PackageFullName, PackageUserInformation
Verificar a versão provisionada no Windows:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object DisplayName, Version
Os comandos devem ser executados em uma sessão do PowerShell com privilégios administrativos.
A primeira consulta identifica pacotes instalados e suas respectivas informações. A segunda verifica a versão provisionada para novos perfis.
Nenhum dos comandos modifica o sistema.
Caso sejam identificadas versões anteriores à 11.2609.401.0, deve-se atualizar o aplicativo por meio da Microsoft Store ou dos mecanismos corporativos de distribuição de software.
Após a atualização, a recomendação é executar novamente as consultas para confirmar que todas as instalações relevantes utilizam a versão corrigida.
Em organizações que utilizam soluções como o Microsoft Intune, esse processo pode ser integrado às rotinas de gerenciamento e atualização de dispositivos.
Qual é a probabilidade de exploração da CVE-2026-83844?
Embora a vulnerabilidade tenha recebido pontuação CVSS 8,1, sua gravidade técnica não deve ser confundida com a probabilidade de exploração.
O CVSS considera características e impactos potenciais de uma falha, enquanto outros indicadores procuram identificar a existência de exploração conhecida ou estimar a possibilidade de ataques futuros.
Para a CVE-2026-83844, três informações ajudam a contextualizar o cenário em 6 de novembro de 2026.
Avaliação da Microsoft: a exploração foi classificada como pouco provável, principalmente devido à alta complexidade técnica necessária para realizar o ataque.
Catálogo CISA KEV: a vulnerabilidade não constava na relação de falhas com exploração conhecida confirmada.
Exploit Prediction Scoring System (EPSS): o modelo mantido pelo FIRST registrava, em 5 de novembro, uma probabilidade estimada de exploração de 0,734% nos 30 dias seguintes, com percentil de aproximadamente 54,54%.
O EPSS utiliza modelos estatísticos para estimar a probabilidade de uma vulnerabilidade ser explorada em ambientes reais durante esse período.
O percentual não representa a gravidade da falha nem indica quantos equipamentos estão vulneráveis.
Também não constitui garantia de que uma exploração ocorrerá ou deixará de ocorrer.
Sua finalidade é complementar a análise de risco, oferecendo uma estimativa que pode ajudar organizações a priorizar correções quando precisam administrar grandes quantidades de vulnerabilidades.
Nesse contexto, os indicadores disponíveis apontam para uma vulnerabilidade de alto impacto potencial, mas sem evidências públicas de exploração ativa e com baixa probabilidade estatística estimada de exploração no curto prazo.
A avaliação não elimina a necessidade de atualização.
Com uma correção oficial disponível, a medida mais adequada continua sendo identificar os equipamentos afetados e aplicar a versão corrigida do aplicativo.
Medidas de segurança para empresas
A descoberta reforça a importância de incluir aplicativos comuns nas políticas de gerenciamento de vulnerabilidades.
Em organizações que utilizam computadores Windows, algumas medidas podem reduzir a exposição:
-
Identificar os equipamentos afetados: verificar quais computadores possuem o Paint instalado e registrar suas respectivas versões.
-
Aplicar a correção: atualizar o aplicativo para a versão 11.2609.401.0 ou posterior por meio da Microsoft Store.
-
Validar a atualização: confirmar que a versão corrigida está instalada em todas as contas e nos pacotes provisionados relevantes.
-
Manter o inventário de software atualizado: acompanhar não apenas sistemas operacionais e aplicações críticas, mas também programas utilizados em atividades cotidianas.
-
Restringir privilégios administrativos: limitar permissões desnecessárias pode reduzir determinadas consequências de um comprometimento.
-
Utilizar mecanismos de proteção: soluções de segurança de endpoints e controles de execução podem auxiliar na identificação e contenção de atividades maliciosas.
-
Acompanhar fontes oficiais: consultar comunicados do fabricante, registros CVE e indicadores de exploração para atualizar as avaliações de risco.
Em situações nas quais o Microsoft Paint não possui utilização operacional, sua remoção também pode ser considerada como medida de redução da superfície de ataque.
Essa decisão deve levar em conta as necessidades dos usuários e as políticas internas da organização.
A Microsoft não apresenta uma mitigação alternativa específica no comunicado de segurança. Portanto, a atualização permanece como principal medida corretiva.
O que a vulnerabilidade revela sobre a segurança dos aplicativos?
A CVE-2026-83844 demonstra que falhas relevantes de segurança podem atingir programas tradicionalmente considerados simples e de baixo risco.
O Microsoft Paint faz parte da experiência cotidiana de muitos usuários do Windows, mas dificilmente recebe a mesma atenção dedicada a navegadores, servidores e ferramentas de acesso remoto.
Essa diferença de percepção pode contribuir para que determinados aplicativos permaneçam desatualizados, especialmente quando dependem de mecanismos de atualização separados do sistema operacional.
O episódio também evidencia limitações que podem surgir na divulgação e no gerenciamento de vulnerabilidades.
A classificação como execução remota de código, apesar da natureza de leitura fora dos limites, permanece sem uma explicação técnica pública detalhada. A descrição do vetor de rede também não identifica o serviço envolvido.
Somam-se a essas questões as divergências sobre versões corrigidas e os atrasos observados na distribuição da atualização.
Para organizações que dependem de ferramentas automatizadas, esses fatores demonstram que a gestão de vulnerabilidades exige mais do que consultar pontuações ou aceitar resultados de scanners sem validação.
É necessário acompanhar os comunicados dos fabricantes, avaliar a exposição real dos ativos e confirmar a implementação das correções.
No caso do Microsoft Paint, não existem evidências públicas de exploração ativa até a data desta atualização. Ainda assim, a existência de uma falha de alta gravidade com correção disponível justifica a adoção das medidas necessárias.
Mais do que um problema isolado em um editor de imagens, o caso reforça a necessidade de uma abordagem abrangente de segurança, na qual todos os componentes instalados nos equipamentos sejam considerados parte da superfície de ataque.
