Microsoft hat eine Codeausführungslücke in Paint geschlossen. Die korrigierte Version 11.2609.401.0 kommt aber teils nicht über den Microsoft Store an.
Präparierte Bilddatei
Sicherheitslücke in Microsoft Paint: Update kommt nicht überall an
Bildquelle: aileenchik/Shutterstock.com
In der Windows-App Paint steckt eine Sicherheitslücke, über die Angreifer aus der Ferne Code ausführen können. Microsoft hat die Schwachstelle mit der Kennung CVE-2026-83844 im Rahmen des Oktober-Patchdays veröffentlicht. Sie ist mit einem CVSS-Wert von 8,1 bewertet, Microsoft stuft sie als „wichtig” ein, eine Stufe unter „kritisch”. Die Lücke rückte Anfang November in den Fokus, nachdem Administratoren berichtet hatten, dass die korrigierte Version auf vielen Rechnern nicht ankommt.
Präparierte Bilddatei
Ursache ist ein Lesezugriff außerhalb eines Speicherbereichs (Out-of-Bounds Read) beim Verarbeiten von Bilddaten. Mit einer präparierten Bilddatei können Angreifer laut Microsoft Code mit den Rechten des Nutzers ausführen, der Paint verwendet. Der Angriff erfolgt laut Microsofts Bewertung über das Netzwerk und erfordert weder Anmeldedaten noch Zutun der Nutzer. Allerdings gilt die Komplexität als hoch, Microsoft hält eine Ausnutzung für weniger wahrscheinlich. Bei der Veröffentlichung gab es weder öffentlichen Exploit-Code noch bekannte Angriffe.
„Eine erfolgreiche Ausnutzung dieser Schwachstelle erfordert, dass ein Angreifer über ein tiefes Verständnis des Systems verfügt.”
Microsoft
Verwirrung um die Versionsnummer
Paint wird über den Microsoft Store aktualisiert, nicht über Windows Update. Zunächst nannte Microsoft im Security Update Guide die Version 11.2605.91.0 als korrigiert. Laut Berichten von Techzine bot der Store zu diesem Zeitpunkt aber noch die anfällige Version 11.2605.81.0 an. Inzwischen führt Microsoft die Version 11.2609.401.0 als Sicherheitsupdate. In Tests blieben einzelne Windows-11-Systeme trotz aktivierter automatischer Store-Updates auf älteren Versionen, auch eine manuelle Suche nach Updates im Store bot keine neue Version an.
Version selbst prüfen
Administratoren und Nutzer sollten deshalb nicht davon ausgehen, dass Paint automatisch aktualisiert wurde. Die installierte Version lässt sich unter Paint in den Einstellungen oder per PowerShell mit dem Befehl Get-AppxPackage Microsoft.Paint prüfen. Liegt sie unter 11.2609.401.0, sollte das Update über den Microsoft Store angestoßen werden. In verwalteten Umgebungen lässt sich die Verteilung über Werkzeuge wie Intune steuern. Am Oktober-Patchday hatte Microsoft insgesamt 1.413 Sicherheitslücken geschlossen, so viele wie nie zuvor.
(red)
