Paint dobija RCE zakrpu kroz Microsoft Store, ne Windows Update
Microsoft je u Microsoft Store-u objavio Paint 11.2609.401.0, verziju koja otklanja CVE-2026-83844, ranjivost za udaljeno izvršavanje koda u aplikaciji Windows Paint. Microsoft propust ocenjuje kao važan, sa CVSS rezultatom 8,1, ali se zakrpa ne isporučuje kroz Windows Update već isključivo kroz ažuriranje aplikacije iz Store-a.
Ranljivost je čitanje van granica memorije. Uspešan napad mogao bi napadaču omogućiti pokretanje koda preko mreže slanjem posebno oblikovanog paketa pogođenom servisu. Microsoft navodi da je za eksploataciju potrebno detaljno poznavanje ciljnog sistema, dok prijava korisnika i njegova interakcija nisu potrebne.
Koja verzija Paint-a se smatra ispravljenom
Microsoftov bezbednosni savet kao ispravljenu navodi verziju 11.2609.401.0. To je i najnovija verzija koju je provera zabeležila u deset zemalja. Pre toga su Store instalacije u šest zemalja nudile 11.2605.81.0, izdanje bez zakrpe, dok je jedan testni virtuelni računar naknadno automatski prešao na novu verziju putem Store automatskog ažuriranja.
Dokumentacija nije u potpunosti usklađena. CVE zapis i NVD unos ranjivim smatraju verzije starije od 11.2605.91.0, pa bi alat koji se oslanja samo na taj opseg mogao kao bezbedne označiti i neke verzije koje nisu 11.2609.401.0. Microsoftov savet je prethodne nedelje kao ispravljenu verziju navodio 11.2605.91.0, a istorija izmena saveta i dalje prikazuje samo unos od 13. oktobra.
Provera mora obuhvatiti sve korisničke kopije
Paint se, kao i druge Store aplikacije, instalira zasebno za svaki korisnički nalog na računaru. Windows može zadržati i provisioned kopiju koja se instalira za nove korisnike. Provera samo trenutno prijavljenog naloga zato može propustiti stariju instalaciju.
U PowerShell prozoru pokrenutom sa administratorskim pravima potrebno je proveriti sve korisničke instalacije komandom:
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Provisioned kopija proverava se posebnom komandom:
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Operativni koraci za upravljane uređaje
Svaku kopiju stariju od 11.2609.401.0 treba ažurirati kroz Microsoft Store ili sačekati automatsko Store ažuriranje. U Microsoft Intune-u i drugim alatima za upravljanje uređajima, skeniranje ažuriranja Store aplikacija može ovaj postupak pokrenuti na većem broju računara.
Nakon ažuriranja, obe provere treba ponoviti i potvrditi da svaka pronađena kopija prikazuje 11.2609.401.0 ili noviju verziju. Microsoft ne navodi zaobilazno rešenje ni ublažavanje rizika. Za poslovanje je zato ključno da se upravljanje zakrpama ne ograniči na Windows Update, već da redovno obuhvati Store aplikacije, sve korisničke naloge i provisioned pakete.