Microsoft Paint tiene una corrección para CVE-2026-83844 y Windows Update no la va a instalar: Microsoft Paint y CVE-2026-83844 se resuelven en la tienda de aplicaciones, con la compilación 11.2609.401.0 ya disponible este 6 de noviembre. Quien deje la computadora con las actualizaciones del sistema al día y nunca abra la Microsoft Store puede seguir con la versión vulnerable sin ver ningún aviso.
El fallo permite ejecutar código a distancia. Microsoft lo publicó el 13 de octubre, lo calificó de importante y le asignó 8,1 puntos en la escala CVSS, el sistema común de puntuación de vulnerabilidades. La causa es una lectura fuera de límites, CWE-125: el programa lee memoria fuera del espacio que debía revisar y esa grieta abre la puerta a código ajeno por la red.
The Hacker News comprobó este viernes que la compilación 11.2609.401.0 era la más nueva de Paint en los diez países revisados. Brian Vitko, de RFF, empresa de programas para administrar dispositivos, había revisado la tienda en seis países a principios de semana y en todos mandaba la 11.2605.81.0, sin la corrección. Su máquina virtual de prueba recibió después la versión buena sola, por la actualización automática de la tienda. Una máquina prueba que la compilación existe; no dice a qué velocidad llegará al resto.
Dos números oficiales para una misma corrección
El problema extra está en el papeleo. El aviso de seguridad de Microsoft nombra la 11.2609.401.0 como compilación corregida. El registro público del CVE, que la propia compañía alimenta, marca como afectadas solo las versiones por debajo de la 11.2605.91.0, y la base nacional de vulnerabilidades de Estados Unidos, la NVD, repite ese rango. Entre un papel y otro hay una franja de versiones con veredicto distinto.
Una herramienta de inventario que lea el registro del CVE dará por buena cualquier copia desde la 11.2605.91.0 en adelante. La 11.2609.401.0 o una posterior pasa con los dos números, y esa queda como la meta segura. SQ Magazine recordó un episodio que explica la desconfianza: el 30 de octubre, un administrador preguntó en el foro de Microsoft dónde estaba la 11.2605.91.0 que el aviso citaba entonces. La versión más nueva a la vista era la 11.2605.81.0, más de diez usuarios marcaron la misma duda y nadie del personal respondió.
El aviso cambió después su número de referencia y su historial conserva solo la entrada original del 13 de octubre, sin nota del cambio. Microsoft no ha explicado el movimiento. Para quien administra 200 computadoras en una oficina, un escáner contento con la cifra vieja deja la corrección a medias y el reporte en verde.
Paint viene instalado en casi cada computadora con Windows y permanece ahí aunque nadie lo toque en meses. Esa presencia silenciosa convierte un editor sencillo en superficie de ataque: el riesgo no depende de abrirlo a diario, depende de qué compilación quedó instalada.
Cómo revisar cada copia instalada
La revisión tiene una trampa propia de las aplicaciones de tienda. Paint se instala por separado para cada cuenta de usuario, y Windows guarda además una copia aprovisionada, la que instala para cada usuario nuevo. Revisar solo la cuenta abierta puede dejar atrás copias viejas y la que heredará la próxima cuenta de esa máquina.
Vitko publicó dos comandos para PowerShell, la consola de administración de Windows, abierta con permisos de administrador. El primero lista la copia de Paint de todos los usuarios y el segundo muestra la aprovisionada. Para una sola cuenta basta un comando más corto: Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version. Si el número queda por debajo de 11.2609.401.0, toca abrir la Microsoft Store y dejar que la tienda instale la compilación nueva, o hacerlo con Intune y programas parecidos cuando se trata de muchos equipos.
Terminada la instalación, los dos comandos deben repetirse. Cada copia, incluida la aprovisionada, tiene que marcar 11.2609.401.0 o un número mayor. El aviso de Microsoft no ofrece solución alternativa ni medida temporal. Antes de que la corrección llegara a la tienda, Vitko planteó quitar Paint de los equipos donde nadie lo necesitara; esa salida nunca se probó en su laboratorio y perdió sentido cuando la tienda empezó a servir la versión corregida.
Quien instaló hace poco la actualización grande de Windows 11, la versión 26H2, puede sentir que el sistema quedó completo. Este caso separa dos carriles: el sistema se corrige por Windows Update y las aplicaciones de la tienda, por la tienda. Una computadora puede presumir el sistema al día y guardar un Paint viejo, sin contradicción en pantalla.
La parte tranquila del expediente es corta. Microsoft informó que el fallo no se conocía explotado ni divulgado en público al publicarlo el 13 de octubre, y lo marcó con explotación menos probable. The Hacker News comprobó además que no aparecía este viernes en el catálogo de vulnerabilidades explotadas conocidas de la CISA, la agencia de ciberseguridad de Estados Unidos. El aviso describe el ataque como un paquete de red preparado contra un servicio afectado, sin nombrar ese servicio, sin inicio de sesión y sin ayuda del usuario, aunque exige un conocimiento profundo del sistema atacado.
Paint seguirá abriendo dibujos sencillos y capturas recortadas en millones de escritorios. La diferencia queda en un número que casi nadie mira: 11.2609.401.0. Debajo de esa cifra, la corrección de octubre continúa pendiente, guardada en una tienda que muchos abren solo cuando buscan un juego.
Fuente: The Hacker News
