Luka w programie Paint w Windows 11 może pozwolić atakującym zdalnie uruchomić kod
Arkadiy Andrienko
Microsoft ujawnił 13 października 2026 r. lukę typu odczyt poza zakresem w programie Paint i informuje, że może ona pozwolić atakującemu uruchomić kod na komputerze przez sieć. Otrzymała ocenę 8,1 na 10, ale Microsoft sklasyfikował ją jako „ważną”, a nie „krytyczną”.
Microsoft informuje, że atakujący nie musi się uwierzytelniać: do wykorzystania luki może wystarczyć wysłanie specjalnie spreparowanego pakietu sieciowego do podatnej usługi.
Nieuwierzytelniony atakujący może wykorzystać tę lukę, wysyłając specjalnie spreparowany pakiet przez sieć do podatnej usługi.
Wersja 11.2609.401.0 programu Paint i nowsze zawierają poprawkę, a wcześniejsze wersje uznaje się za podatne. Zainstalowaną wersję można sprawdzić w PowerShellu za pomocą polecenia `Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version`.
Poprawka jest udostępniana za pośrednictwem Microsoft Store, więc samo zainstalowanie październikowej aktualizacji Windows z 2026 roku nie gwarantuje, że Paint zostanie zaktualizowany. Serwis Windows Latest poinformował, że mimo włączonych automatycznych aktualizacji ze Store jego wersja programu Paint pozostała na poziomie 11.2603.251.0, a w sklepie nie była dostępna żadna aktualizacja Painta.
Microsoft twierdzi, że wykorzystanie luki jest trudne, a Windows Latest poinformował, że nie ma doniesień o jej użyciu w rzeczywistych atakach. Jeśli Microsoft Store nie oferuje aktualizacji Painta, na ile użytkownicy mogą polegać na tym, że poprawka zainstaluje się automatycznie?