Microsoft ha corregido CVE-2026-83844, un fallo de ejecución remota de código en Paint, pero el parche solo llega por la Microsoft Store, no por Windows Update. Afecta a casi cualquier pyme con equipos Windows. Revisa esta semana que Paint esté en la versión 11.2609.401.0 o superior en todas las cuentas y en la copia aprovisionada.
Lo esencial
- CVE-2026-83844 es una lectura fuera de límites en Windows Paint que podría permitir ejecutar código por red. Microsoft lo califica como Importante, con CVSS 8.1, según The Hacker News.
- La versión corregida es la 11.2609.401.0. Solo se distribuye por la Microsoft Store.
- Microsoft publicó el fallo el 13 de octubre. Entonces no constaba como explotado ni divulgado públicamente, y no figuraba en el catálogo de vulnerabilidades explotadas de CISA cuando The Hacker News lo comprobó.
- El registro CVE lista Paint como afectado solo por debajo de la 11.2605.91.0, una versión anterior a la corregida.
- El aviso no ofrece ninguna mitigación ni solución alternativa.
¿Me afecta si tengo Windows Update al día?
Sí. Ese es justo el problema. Si en tu empresa hay equipos con Windows 11, o con Windows 10 y el Paint de la Store, que Windows Update esté al día no garantiza nada. La corrección viaja por otro canal.
Según el aviso que cita The Hacker News, el ataque consistiría en enviar un paquete manipulado a un servicio afectado por red, sin inicio de sesión ni intervención del usuario. El aviso no nombra ese servicio. Microsoft añade que el ataque exige un conocimiento profundo del sistema objetivo.
Hay otro detalle. La versión corregida no ha estado disponible a la vez en todas partes. Brian Vitko, de RFF, comprobó a principios de esa semana en seis países que la versión más reciente en la Store era la 11.2605.81.0, sin el parche. Después, The Hacker News vio la 11.2609.401.0 como la más reciente en los diez países que revisó.
¿Por qué mi escáner puede decir que está corregido?
Porque el registro CVE y el aviso de Microsoft no coinciden. El registro da Paint por afectado solo por debajo de la 11.2605.91.0. Un escáner que se guíe por ese registro daría por bueno cualquier equipo desde esa versión, aunque siga por debajo de la 11.2609.401.0, que es la que corrige el fallo.
Se suma cómo se instala Paint. Va por separado en cada cuenta de usuario, y Windows puede guardar además una copia aprovisionada para los usuarios nuevos. Si solo miras la cuenta con sesión iniciada, se te pueden escapar copias antiguas.
Qué hacer hoy
- Pide a quien lleve tu informática que revise la versión de Paint en todas las cuentas de usuario y en la copia aprovisionada de cada equipo. The Hacker News incluye dos comandos de PowerShell, para ejecutar como administrador: uno lista la copia de cada usuario y otro la aprovisionada.
- Actualiza todo lo que esté por debajo de la 11.2609.401.0. Puedes hacerlo desde la Store o dejar que su actualización automática instale la versión corregida.
- Si gestionas los equipos con Intune u otra herramienta, lanza el análisis de actualizaciones de apps de la Store para aplicarlo a muchos equipos a la vez.
- No cierres el tema solo porque el escáner de vulnerabilidades dé el visto bueno. Comprueba el número de versión real.
- Si nadie usa Paint, valora quitarlo para todos los usuarios y de la copia aprovisionada. Es lo que sugería el investigador, aunque no probó ese paso, así que pruébalo antes en un equipo.
Qué significa para una pyme
No es una emergencia. No consta explotación activa y el ataque requiere conocer bien el sistema. No hace falta parar a nadie ni montar un comité de crisis.
Lo que sí enseña este caso es más incómodo: muchas pymes creen que tener Windows Update en verde equivale a estar parcheadas. Las apps que Microsoft distribuye por la Store, como Paint, se actualizan por otra vía, y si esa vía está desactivada o nadie la vigila, el equipo se queda atrás sin que salte ninguna alarma. Si encima el escáner lee un registro CVE desfasado, el informe te dirá que todo está bien.
Nuestra recomendación: cierra este fallo esta semana y aprovecha para responder una pregunta concreta. ¿Quién revisa las actualizaciones de la Store en tus equipos y cómo lo sabes? Si la respuesta es "nadie" o "supongo que se hace solo", tienes un hueco que irá más allá de Paint. Si quieres ayuda para ordenar cómo se parchea tu parque, lo trabajamos en ciberseguridad para pymes.
Preguntas frecuentes
¿Basta con pasar Windows Update?
No. La corrección de CVE-2026-83844 solo llega por la Microsoft Store. Necesitas Paint en la versión 11.2609.401.0 o superior.
¿Está siendo explotado?
No consta. Cuando Microsoft lo publicó no figuraba como explotado, y tampoco estaba en el catálogo de CISA cuando lo comprobó The Hacker News.
¿Hay alguna mitigación si no puedo actualizar?
El aviso no ofrece ninguna. La alternativa que sugirió el investigador es desinstalar Paint si nadie lo necesita, aunque no la probó.
