Fallamento RCE in MS Paint: Confusione sulla Patch Lascia Windows 11 Esposto

Vulnerabilità di MS Paint: Una minaccia RCE senza clic con un problema di distribuzione della patch

Microsoft Paint, un punto fermo di Windows per decenni, è al centro di una vulnerabilità di esecuzione remota di codice (RCE) appena divulgata che sta mettendo in difficoltà i team di sicurezza. Identificata come CVE-2026-83844, la falla ha un punteggio CVSS di 8.1 (Alto) e consente a utenti malintenzionati non autenticati di eseguire codice su una rete. Tuttavia, la vera storia non è solo il bug in sé, ma il rollout confuso e disomogeneo della correzione che lascia molti sistemi esposti nonostante gli aggiornamenti automatici siano attivati.

Microsoft ha divulgato la vulnerabilità il 13 ottobre e ha immediatamente rilasciato una patch tramite il Microsoft Store. Tuttavia, diversi amministratori e utenti segnalano che l'aggiornamento non appare nelle loro code di aggiornamento e che anche coloro che hanno l'aggiornamento automatico attivato scoprono di eseguire ancora versioni vulnerabili. Ciò ha portato a un incubo di verifica della patch, con l'azienda che solo di recente ha chiarito il numero esatto della build sicura.

Analisi tecnica: Lettura fuori dai limiti e sfruttamento senza clic

La vulnerabilità è classificata come CWE-125 (lettura fuori dai limiti), il che significa che l'applicazione Paint legge memoria al di fuori del buffer previsto. In questo caso, un file immagine appositamente creato può innescare questa falla, consentendo a un utente malintenzionato di leggere contenuti di memoria sensibili ed eventualmente eseguire codice arbitrario. L'avviso di Microsoft nota che il vettore di attacco è sulla rete, non richiede privilegi e nessuna interazione dell'utente: uno scenario classico "senza clic".

Nonostante l'alta gravità, Microsoft valuta la complessità dell'attacco come "Alta", il che tipicamente implica che uno sfruttamento riuscito richieda condizioni specifiche o una conoscenza dettagliata del sistema. Questo è il motivo per cui l'azienda non ha assegnato una valutazione "Critica", etichettandola invece come "Importante". Tuttavia, esperti di sicurezza come quelli di Cybernews e Windows Latest avvertono che la mancanza di interazione dell'utente rende questa una preoccupazione seria, specialmente per ambienti aziendali in cui Paint potrebbe essere utilizzato per aprire immagini da fonti non attendibili.

Il problema della disponibilità della patch: Perché gli aggiornamenti automatici non bastano

Il problema principale è che Microsoft distribuisce la correzione per Paint tramite il Microsoft Store, non tramite il normale canale di Windows Update. Ciò significa che avere un'installazione di Windows 11 completamente aggiornata, incluso l'aggiornamento cumulativo di ottobre 2026 che ha corretto oltre 1.000 problemi di sicurezza, non garantisce che Paint stesso sia stato corretto. Gli utenti devono verificare specificamente la versione dell'app Paint nelle sue impostazioni.

Gli amministratori hanno segnalato che l'aggiornamento non appare nel Microsoft Store, con alcuni che ipotizzano un rollout graduale. Un utente su un forum tecnico ha affermato che la patch era inizialmente disponibile solo nelle regioni dell'Asia meridionale, anche se ciò non è stato confermato da Microsoft. La confusione è stata aggravata da un errore iniziale nella pagina MSRC che elencava un numero di versione errato. Microsoft ha successivamente aggiornato l'avviso per affermare che la versione sicura è 11.2609.401.0 o successiva.

Come verificare la versione di Paint e rimanere protetti

Per verificare se il tuo sistema è protetto, apri Microsoft Paint, fai clic sul menu a tre punti, seleziona "Informazioni" e controlla il numero di versione. Se è 11.2609.401.0 o superiore, sei al sicuro. In caso contrario, dovresti verificare manualmente la presenza di aggiornamenti nel Microsoft Store facendo clic su "Libreria" e poi su "Ottieni aggiornamenti". Se l'aggiornamento non appare, alcuni utenti hanno segnalato successo reinstallando Paint dallo Store o utilizzando il pulsante "Ottieni aggiornamenti" più volte.

Microsoft non ha fornito una tempistica per quando la patch sarà disponibile a livello globale, ma è fondamentale che gli amministratori non diano per scontato che gli aggiornamenti automatici abbiano applicato la correzione. Le soluzioni antivirus aziendali di terze parti stanno già segnalando Paint per la mancanza della patch di sicurezza, il che potrebbe aiutare a identificare i sistemi non corretti.

Perché questo è importante: Il rischio di RCE senza clic in un'app predefinita di Windows

Paint è un'applicazione predefinita di Windows, presente su ogni installazione di Windows 11. Il fatto che possa essere sfruttata da remoto senza interazione dell'utente rende questa una superficie di attacco significativa. Sebbene Microsoft minimizzi il rischio a causa della complessità dell'attacco "Alta", il potenziale per un utente malintenzionato di creare un'immagine dannosa che innesca l'esecuzione di codice è reale. Negli ambienti aziendali, dove le immagini vengono spesso condivise tramite email o condivisioni di file, il rischio è maggiore.

Questo incidente evidenzia anche un problema più ampio: la crescente complessità della gestione delle patch quando le applicazioni vengono distribuite tramite canali separati come il Microsoft Store. I team di sicurezza devono ora tenere traccia delle versioni dei componenti oltre alla build del sistema operativo, aggiungendo un altro livello ai loro processi di gestione delle vulnerabilità.

Cosa fare subito

• Controlla immediatamente la versione di Paint (Impostazioni > Informazioni).
• Se è inferiore a 11.2609.401.0, attiva manualmente gli aggiornamenti del Microsoft Store.
• Monitora l'avviso di sicurezza di Microsoft per aggiornamenti sulla disponibilità della patch.
• Considera l'utilizzo di scanner di vulnerabilità di terze parti per rilevare installazioni di Paint non corrette.
• Limita l'accesso a Paint o utilizza l'elenco di applicazioni consentite in ambienti ad alta sicurezza fino a quando la patch non sarà confermata.

Al momento, non ci sono segnalazioni di sfruttamento attivo, ma il divario della patch è una bomba a orologeria. Microsoft non ha ancora risposto alle richieste di commento sui tempi di rollout. Aggiorneremo questa storia non appena saranno disponibili ulteriori informazioni.