CVE-2026-83844: la patch di Paint è solo Store, Windows Update non basta

La patch per CVE-2026-83844 in Microsoft Paint (CVSS 8.1) arriva esclusivamente via Microsoft Store. I sistemi aziendali che bloccano lo Store o usano solo Windows Update rimangono esposti.

Il 6 novembre 2026 Microsoft ha reso disponibile la build 11.2609.401.0 di Paint che corregge CVE-2026-83844, una vulnerabilità RCE con CVSS 8.1. L'aggiornamento è distribuito esclusivamente tramite Microsoft Store e non compare nei canali Windows Update tradizionali. Le conseguenze sono immediate: gli ambienti aziendali che bloccano lo Store o si affidano a scanner di vulnerabilità basati sui dati CVE rischiano di segnalare sistemi "compliant" che in realtà eseguono codice vulnerabile.

Punti chiave

CVE-2026-83844 in Microsoft Paint ha CVSS 8.1 ed è classificata Important da Microsoft; la patch è disponibile solo tramite Microsoft Store (build 11.2609.401.0), non tramite Windows Update.
Microsoft aveva inizialmente indicato la build 11.2605.91.0 come fissa, ma questa non è mai apparsa nel catalogo Store pubblico; l'advisory è stato aggiornato il 6 novembre senza documentare la revisione nella cronologia.
Paint è un'app MSIX/Appx installata per profilo utente; il patching tradizionale basato su cumulative update (LCU) non la tocca, creando un blind spot operativo per le aziende.
Ambienti con Store o auto-update bloccati tramite GPO/MDM rimangono esposti indefinitamente; non esistono workaround o mitigazioni ufficiali da Microsoft.

Il gap architetturale che rende Paint invisibile al patching tradizionale

La separazione tra Windows Update e Microsoft Store non è una novità, ma CVE-2026-83844 la espone con concretezza operativa. Paint è classificata come app inbox, tuttavia è distribuita in formato MSIX/Appx attraverso il canale Store. Il meccanismo di aggiornamento è gestito da un servizio distinto rispetto al Windows Update Agent che veicola le cumulative update di sistema. Questo significa che il Patch Tuesday di ottobre 2026 non ha incluso alcun elemento che toccasse Paint.

La conseguenza è un'incoerenza nel perimetro di sicurezza. Un sistema Windows 11 con tutti gli aggiornamenti cumulativi installati e con dashboard di compliance "verdi" può ospitare una versione di Paint ancora vulnerabile. InfoSecMonkey ha sintetizzato il problema con una formula che merita attenzione: "You can be 100 percent green on Windows Update compliance and still have a vulnerable Paint on every desktop in the building".

La discrepanza tra le build e il rischio dei dati CVE non aggiornati

Il percorso della patch è segnato da una confusione documentata che amplifica il rischio di falsi negativi nei sistemi di scansione. Microsoft ha inizialmente indicato la build 11.2605.91.0 come versione corretta nell'advisory MSRC. SQ Magazine ha verificato che "no public source shows that 11.2605.91.0 ever shipped through the Store". The Hacker News ha corroborato l'assenza di quella build nel catalogo pubblico.

L'advisory è stato successivamente aggiornato alla build 11.2609.401.0 il 6 novembre, con revision note datata 6 novembre 2026 secondo ThreatDefence. Il record NVD e il record CVE.org hanno aggiornato la affected range a 11.0.0.0 < 11.2609.401.0. Tuttavia, il gap temporale tra la pubblicazione iniziale della vulnerabilità (13 ottobre) e la disponibilità effettiva della build corretta ha lasciato spazio a un'informazione tecnica disallineata.

The Hacker News ha rilevato il rischio specifico: "A tool that reads the CVE record would treat any build from 11.2605.91.0 upward as fixed, even though Microsoft's advisory sets the bar higher". Questo significa che scanner automatici, asset inventory e strumenti di vulnerability management configurati sui dati CVE — senza verifica incrociata con il catalogo Store reale — possono classificare come sicure build che non contengono la patch effettiva.

Chi è esposto e perché la distribuzione Store non garantisce copertura uniforme

La distribuzione tramite Microsoft Store introduce variabili che il patching tradizionale non contempla. Brian Vitko di RFF ha verificato all'inizio della settimana che in sei paesi (Stati Uniti, Regno Unito, Germania, Australia, India, Singapore) la build più recente disponibile era ancora la 11.2605.81.0, priva di correzione. The Hacker News ha esteso la verifica a dieci paesi il 6 novembre, constatando la disponibilità della 11.2609.401.0. I tempi di propagazione fleet-wide rimangono incerti.

L'esposizione è massima in tre scenari aziendali: ambienti con Microsoft Store bloccato tramite Group Policy o MDM; sistemi kiosk o server con Desktop Experience dove l'auto-update Store è disabilitato; infrastrutture che non tracciano le versioni delle app Store per utente. In tutti questi casi Paint "stays on the vulnerable build indefinitely", come documenta ThreatDefence.

Il problema è ulteriormente complicato dalla natura per-profilo dell'installazione. Paint viene distribuita come appx separata per ogni account utente; esiste inoltre una copia provisioned per i nuovi profili. Questo significa che anche su un sistema dove un utente ha ricevuto l'aggiornamento, un altro account o un nuovo accesso può presentare la versione vulnerabile.

"Paint gets this fix only through a Store update, not through Windows updates" — The Hacker News

Cosa fare adesso

Le azioni operative devono rispondere alla natura duale del problema: verifica della build effettiva e rimozione dei blocchi alla distribuzione Store per questa app specifica.

Eseguire Get-AppxPackage -AllUsers Microsoft.Paint per enumerare tutte le istanze installate e confrontare la versione con la build 11.2609.401.0; ripetere con Get-AppxProvisionedPackage per verificare la copia di sistema.
Utilizzare winget list --name Paint o equivalenti per il tracking delle versioni Store nel parco macchine, integrando questo dato nei report di vulnerability management.
Verificare che le policy GPO/MDM che bloccano il Microsoft Store o i suoi aggiornamenti auto non impediscano il ricevimento della build corretta; valutare eccezioni mirate per Microsoft.Paint se l'organizzazione opera in regime di blocco totale.
Allineare i dati dei scanner di vulnerabilità con il record CVE aggiornato (affected range 11.0.0.0 < 11.2609.401.0 secondo NVD e CVE.org) e verificare che non applichino la soglia obsoleta 11.2605.91.0.

Perché questo caso sfida il modello di patch management tradizionale

CVE-2026-83844 non è una vulnerabilità straordinaria nel suo impatto teorico: Microsoft valuta l'exploitation come "Less Likely" e non risulta nel catalogo CISA KEV. Il suo valore come case study risiede invece nella rottura del presupposto che "aggiornato Windows Update = sistema protetto". Quando un'app inbox come Paint esce dal perimetro del cumulative update, l'intera catena di strumenti e processi costruita su quel presupposto genera falsi negativi.

Il silenzio di Microsoft sulla revisione dell'advisory — il cambio di build senza documentazione esplicita nella cronologia — aggiunge un livello di opacità che complica la verifica indipendente. Le organizzazioni devono ora integrare il tracking delle app Store nel ciclo di vulnerability management, con controlli specifici per profilo utente e verifica incrociata tra CVE record e cataloghi di distribuzione reali. Il "falso senso di sicurezza" non è più un rischio astratto: è un dashboard verde con una build vulnerabile in esecuzione.

FAQ

La vulnerabilità richiede interazione dell'utente per essere sfruttata?: No. Il vettore CVSS indica UI:N (User Interaction: None) e PR:N (Privileges Required: None). Microsoft non ha tuttavia chiarito il servizio di rete esatto che riceve il pacchetto dannoso.
Perché la build 11.2605.91.0 è rilevante se non è mai stata distribuita?: Perché è stata indicata come fissa nei record CVE iniziali. Scanner automatici e strumenti di gestione vulnerabilità configurati su quei dati classificavano come sicure build che non contenevano la patch effettiva, generando falsi negativi.
Windows 10 con Paint classico è vulnerabile?: No. Windows 10 con la versione classica di Paint (non MSIX/Appx) non è elencato come sistema affetto nell'advisory Microsoft.

Fonti

Fonti e riferimenti

Ricevi DeafLetter