Windows Paint'in RCE açığı için düzeltme yayımlandı, ama Windows Update üzerinden gelmiyor

Microsoft, CVE-2026-83844 açığını kapatan 11.2609.401.0 sürümünü yalnızca Microsoft Store üzerinden dağıtıyor; yöneticilerin her kullanıcı hesabındaki ve hazır kopyadaki Paint'i ayrıca kontrol etmesi gerekiyor.

Microsoft, Windows Paint'in düzeltilmiş 11.2609.401.0 sürümünü yayımladı. Düzeltme, ağ üzerinden erişilebilen ve CVSS puanı 8.1 olan, önem derecesi "Önemli" olarak sınıflandırılmış uzaktan kod yürütme açığı CVE-2026-83844'ü kapatıyor. Sürüm Windows Update ile değil, yalnızca Microsoft Store üzerinden sunuluyor.

RFF'den Brian Vitko'nun yaptığı bir test, Store'un bu hafta başında hâlâ düzeltilmemiş bir sürümü sunduğunu gösterdi. Vitko'nun kendi sanal makinesi ise daha sonra kendi kendine güncellendi. Bu gelişme, Store'un farklı zamanlarda farklı sürümler sunabildiğini düşündürüyor.

CVE kaydı ve NVD girdisi hâlâ Paint'in yalnızca 11.2605.91.0 sürümünün altındaki sürümlerden etkilendiğini listeliyor. Bu kayıt, Microsoft'un duyurusundaki düzeltilmiş sürümle çelişiyor; bu aralığı kullanan güvenlik tarayıcıları yeni sürümleri hatalı biçimde "düzeltilmiş" ya da "açık" olarak işaretleyebilir.

Yöneticilerin, kullanıcıların hesaplarındaki Paint kopyalarını ve hazır (provisioned) kopyaları PowerShell ile kontrol etmesi, 11.2609.401.0'ın altındaki her sürümü güncellemesi öneriliyor. Microsoft'un duyurusunda bir geçici çözüm bulunmuyor. Kontrol edildiğinde açık CISA'nın bilinen istismar edilen açıklar kataloğunda yer almıyordu.