O Paint do Windows 11 tem uma falha de segurança que, em tese, permite executar código à distância sem que o usuário clique em nada. Catalogada como CVE-2026-83844, ela recebeu nota 8,1 de 10 e foi divulgada no Patch Tuesday de 13 de outubro de 2026.
A Microsoft classifica o problema como “Importante”, o segundo nível de uma escala de quatro, e avalia que a exploração é “menos provável”. Até a divulgação, não havia ataques conhecidos nem detalhes públicos, e a falha não consta do catálogo de vulnerabilidades exploradas da CISA.
Qual é o problema
É uma leitura fora dos limites de memória (CWE-125) no código do app. O vetor de ataque é pela rede, sem privilégios e sem interação do usuário, mas a complexidade é alta, o que reduz as chances de sucesso. Segundo a Microsoft, o invasor precisaria de profundo conhecimento do sistema.
Há uma divergência. O texto da Microsoft fala em enviar um “pacote especialmente criado” a um serviço pela rede. A imprensa descreveu o gatilho como uma imagem manipulada aberta no Paint. A descrição oficial não menciona arquivo de imagem.
Como se proteger
O Paint moderno é um app da Microsoft Store, então a correção não vem pelo Windows Update e não existe KB. As versões de 11.0.0.0 até antes de 11.2605.91.0 estão listadas como afetadas. A Microsoft depois passou a indicar a 11.2609.401.0 como a corrigida, o que sugere um erro no número inicial.
O problema é que a atualização pode demorar a chegar. A Neowin relatou que a versão que deveria corrigir a falha não estava disponível para download, e o Windows Latest encontrou um PC com atualização automática ligada que continuava na 11.2603.251.0 sem receber oferta.
Para conferir a versão, abra o PowerShell e rode Get-AppxPackage Microsoft.Paint | Select-Object Name, Version. Depois, abra a Microsoft Store, vá em Biblioteca e procure atualizações. Se a 11.2609.401.0 ainda não aparecer, não há solução oficial alternativa. Evite abrir imagens de origem desconhecida no Paint e, se não usa o programa, remova-o. Empresas podem controlar apps da Store por Intune ou política de grupo.
Fontes: Microsoft Security Response Center, NVD e Neowin.
