Paint-Lücke CVE-2026-83844: Fix kommt nur über den Microsoft Store
Spätestens seit dem 6. November 2026 liefert der Microsoft Store Paint 11.2609.401.0 mit dem Fix für die Codeausführungslücke CVE-2026-83844 (CVSS 8.1). Die Korrektur kommt nur als Store-Update, nicht über Windows Update. Admins sollten alle Benutzerkopien und die bereitgestellte Kopie prüfen. Scanner, die sich nach dem CVE-Datensatz richten, arbeiten mit einer älteren Versionsgrenze.
Für die Paint-Lücke CVE-2026-83844 ist die korrigierte Version 11.2609.401.0 spätestens seit dem 6. November 2026 im Microsoft Store. Microsoft hatte die Schwachstelle schon am 13. Oktober veröffentlicht, die als behoben genannte Version war im Store aber wochenlang nicht zu bekommen. Der Fix kommt ausschließlich als Store-Update, Windows Update liefert ihn nicht.
Betroffen sind Windows-Rechner mit der Store-App Paint unter 11.2609.401.0. Wer Store-Updates zentral gesperrt hat, bekommt die Korrektur nicht automatisch, über WSUS oder Windows Update kommt sie ohnehin nicht. Bei der Veröffentlichung war laut Microsoft keine Ausnutzung bekannt, im KEV-Katalog der US-Behörde CISA stand die Lücke laut The Hacker News am 6. November nicht. Die Prüfung gehört deshalb ins nächste Wartungsfenster und nicht in einen Notfalleinsatz.
Was ist passiert?
Microsoft beschreibt CVE-2026-83844 als Lesezugriff außerhalb des Speicherbereichs in Windows Paint, über den ein nicht angemeldeter Angreifer über das Netzwerk Code ausführen kann. In seinen maschinenlesbaren Sicherheitsdaten zum Oktober nennt Microsoft als Abhilfe die Store-App in Version 11.2609.401.0 und markiert die Lücke mit „Customer Action Required: Yes“. Die Versionshistorie des Advisorys zeigt weiterhin nur den Eintrag vom 13. Oktober.
Laut Brian Vitko von RFF, einem Anbieter von Software zur Geräteverwaltung, nannte Microsoft bei der Veröffentlichung zunächst 11.2605.91.0 als behobene Version. Diese Version tauchte nie im Store auf. Ein Nutzer fragte am 30. Oktober in Microsoft Q&A danach, fand sie nach eigener Angabe nicht und nannte 11.2605.81.0 als neueste Version. Eine Antwort von Microsoft gab es dort nicht. Am 5. November um 03:34 Uhr UTC fand Vitko im Store-Katalog für sechs Länder, darunter Deutschland, weiterhin 11.2605.81.0 als neueste Version. Am 6. November um 04:14 Uhr UTC lieferte der Katalog für die USA, Großbritannien und Deutschland 11.2609.401.0, eine Test-VM hatte die Version per automatischem Store-Update schon installiert. The Hacker News fand den Build am selben Tag in allen zehn geprüften Ländern als neueste Version.
Wer ist betroffen?
Paint ist wie andere Store-Apps je Benutzerkonto installiert. Zusätzlich kann Windows eine bereitgestellte Kopie für neue Profile vorhalten. Eine Prüfung nur des angemeldeten Kontos kann deshalb ältere Kopien anderer Benutzer und die bereitgestellte Kopie übersehen. Laut RFF und The Hacker News führt der öffentliche CVE-Datensatz Paint weiterhin nur unterhalb von 11.2605.91.0 als betroffen. Ein Scanner, der sich danach richtet, würde Builds ab 11.2605.91.0 als behoben werten, obwohl Microsoft in seinen Sicherheitsdaten 11.2609.401.0 nennt.
Wie kritisch ist das?
Microsoft stuft die Lücke als „Wichtig“ ein, mit CVSS 3.1 von 8.1. Ein Angriff braucht weder Anmeldung noch Mitwirkung des Benutzers, die Angriffskomplexität ist aber hoch: Laut Microsoft braucht ein Angreifer tiefe Kenntnis des Zielsystems. Das Advisory spricht von einem präparierten Paket an einen betroffenen Dienst im Netzwerk, nennt diesen Dienst aber nicht. Wie der Angriff auf ein Bildbearbeitungsprogramm praktisch aussieht, ist damit offen. Öffentlich bekannt oder ausgenutzt war die Lücke bei der Veröffentlichung nicht, Microsoft hält eine Ausnutzung für weniger wahrscheinlich.
Was sollten Admins jetzt tun?
- Inventar: In einer PowerShell mit Administratorrechten alle Kopien prüfen, mit
Get-AppxPackage -AllUsers -Name Microsoft.Paintfür die Benutzerkonten undGet-AppxProvisionedPackage -Online, gefiltert aufMicrosoft.Paint, für die bereitgestellte Kopie. - Alles unter 11.2609.401.0 aktualisieren: über den Store, per automatischem Store-Update oder in Intune und anderen MDM-Lösungen über den Scan nach Store-App-Updates.
- Danach beide Abfragen erneut ausführen und prüfen, ob jede Kopie mindestens 11.2609.401.0 zeigt.
- Richtlinien prüfen: Wo der Store oder seine automatischen Updates per Richtlinie eingeschränkt sind, kann der Weg für den Fix fehlen. Dort braucht es eine eigene Verteilung oder eine Ausnahme für Store-App-Updates.
- Schwachstellenscanner gegen 11.2609.401.0 prüfen lassen, nicht gegen die ältere Grenze aus dem CVE-Datensatz.
Einordnung für Unternehmen
Die Lücke selbst ist nach heutigem Stand kein akutes Risiko. Der Fall zeigt aber eine Lücke im Patchprozess vieler Firmen: Store-Apps wie Paint hängen nicht am Windows-Update-Zyklus. Wer Patchstände nur über WSUS oder Windows Update Reports misst, sieht sie nicht. Dass Microsoft die behobene Version ohne Vermerk im Advisory geändert hat, macht die Kontrolle zusätzlich schwerer. Admins sollten Store-Apps deshalb fest in Inventar und Patch-Reporting aufnehmen.
