Paint: der Patch und der aktualisierte Sicherheitshinweis

Microsoft verlangt Paint 11.2609.401.0 oder eine neuere Version. Am 7. November präzisierte der Herausgeber außerdem das Angriffsszenario und den Schwachstellen-Score: zwei Prüfungen, die es zu unterscheiden gilt.

Windows zu aktualisieren reicht nicht immer aus, um auch die Anwendungen auf den neuesten Stand zu bringen. Für die Paint-Schwachstelle CVE-2026-83844 verweist Microsoft auf einen über den Microsoft Store verteilten Patch und die Version 11.2609.401.0. Sinnvoll ist es, die Anwendung selbst zu überprüfen und anschließend sicherzustellen, dass das Update tatsächlich installiert wurde.

Ein weiterer Punkt verdient Beachtung: In den aktuellen offiziellen Daten wird der Angriff als lokal beschrieben und erfordert eine Interaktion des Nutzers; der CVSS-Score beträgt 7,0. Aus dem Verlauf geht hervor, dass Microsoft am 7. November eine FAQ hinzugefügt und den Score aktualisiert hat. Diese Daten enthalten somit nicht mehr die Beschreibung eines Netzwerkangriffs ohne erforderlichen Klick, die in einigen Artikeln noch zu finden ist.

Ein Auslesen außerhalb des zulässigen Bereichs, eine präzisierte Bewertung

Ein Auslesen außerhalb des zulässigen Bereichs bedeutet, dass ein Programm auf einen Speicherbereich zugreift, der über den Bereich hinausgeht, den es verwenden sollte. Im Fall von Paint gibt Microsoft an, dass eine solche Schwachstelle einem Angreifer die Ausführung von Code auf dem Computer ermöglichen kann. Das beschreibt ein Softwarerisiko; es bedeutet nicht, dass ein bestimmtes Gerät angegriffen oder kompromittiert wurde.

Im Sicherheitsbulletin werden die Bezeichnung der Schwachstelle, die den Ausdruck „Remote Code Execution“ beibehält, und die Bedingungen für ihre Ausnutzung voneinander unterschieden. In einer FAQ präzisiert Microsoft, dass sich „remote“ in dieser Bezeichnung auf den Standort des Angreifers bezieht, während die Aktion lokal auf dem Gerät des Opfers ausgeführt wird.

Als allgemeines Beispiel nennt der Herausgeber den Fall einer Person, die dazu gebracht wird, eine speziell präparierte Datei herunterzuladen und anschließend zu öffnen. Der aktuelle Angriffsvektor ist als lokal eingestuft, erfordert eine Interaktion und weist eine hohe Komplexität auf. Letzteres bedeutet, dass die Ausnutzung bestimmte Bedingungen und Kenntnisse des Systems voraussetzt; es bedeutet nicht, dass die Schwachstelle ignoriert werden kann.

Der CVSS-Score ist ein technischer Schweregradindikator und keine persönliche Wahrscheinlichkeit, angegriffen zu werden. In den eingesehenen Daten stuft Microsoft die Schwachstelle als „Important“ ein und meldet keine bekannte Ausnutzung. Diese Angabe entspricht dem Stand des Hinweises zum Zeitpunkt der Überprüfung und ist keine Garantie für die Zukunft.

Die in Paint zu überprüfende Versionsnummer

Die Revision vom 6. November fordert dazu auf, Version 11.2609.401.0 zu installieren, um die Schwachstelle vollständig zu beheben, oder sicherzustellen, dass sie automatisch installiert wurde. Eine neuere Version ist ebenfalls geeignet; wenn die Anwendung bereits neuer ist, muss man nicht versuchen, genau auf diese Nummer zurückzugehen.

Um die Version anzuzeigen, verweist Clubic auf das Einstellungssymbol oben rechts in Paint. Ist die Version älter als der Patch, öffnen Sie den Microsoft Store und suchen Sie in der Bibliothek oder unter den Downloads nach Updates – je nach angebotener Oberfläche. Kehren Sie nach der Installation zu Paint zurück, um die tatsächlich angezeigte Versionsnummer zu überprüfen.

Diese letzte Überprüfung verhindert, dass eine angestoßene Updatesuche mit einem tatsächlich installierten Patch verwechselt wird. Dass eine Schaltfläche betätigt wurde, beweist weder, dass die richtige Anwendung aktualisiert wurde, noch, dass die Installation abgeschlossen ist oder dieselbe Version in allen Sitzungen des PCs verfügbar ist.

Warum der Store ebenso wichtig ist wie Windows Update

Microsoft erklärt in seiner Dokumentation, dass der Store geeignete Anwendungen automatisch aktualisiert, mit Ausnahmen für Anwendungen, die direkt von ihren Herausgebern aktualisiert werden. Eine manuelle Suche ist weiterhin möglich, auch wenn automatische Updates angehalten wurden.

Auf einem von einem Unternehmen oder einer Schule verwalteten Gerät können bestimmte Einstellungen von der IT-Administration abhängen. In diesem Fall ist es besser, dem zuständigen Dienst die festgestellte Paint-Version mitzuteilen, statt wahllos die Richtlinien des Geräts zu ändern. Der Kanal, über den Windows aktualisiert wird, und der Kanal, über den eine Anwendung verteilt wird, sind nicht immer austauschbar.

Clubic weist auch auf gemeinsam genutzte Computer hin: Andere Konten können ihre eigene Installation behalten, und eine für neue Profile vorbereitete Kopie kann weiterhin vorhanden sein. Bei einer IT-Flotte muss die Überprüfung daher die tatsächlich installierten Kopien umfassen und darf sich nicht nur auf diejenige beschränken, die in der Sitzung der testenden Person sichtbar ist.

Die Sicherheitsreferenz auf dem neuesten Stand halten

Die Entwicklung dieses Sicherheitsbulletins veranschaulicht eine häufige Schwierigkeit: Ein Artikel kann einen Hinweis zu einem bestimmten Zeitpunkt korrekt beschreiben und nach einer Überarbeitung durch den Herausgeber unvollständig werden. Aus dem Microsoft-Verlauf geht hervor, dass am 6. November eine neue Paint-Version und am 7. November eine Aktualisierung der FAQ sowie des Scores veröffentlicht wurden.

Man sollte sich daher zwei Angaben gemeinsam merken: die korrigierte Version und die aktuelle Bewertung der Schwachstelle. Die Installation des Patches bleibt die empfohlene Maßnahme; ein älteres, alarmierenderes Angriffsszenario wiederzugeben, verbessert sie nicht. Am konkretesten ist es, Paint und den Microsoft Store zu überprüfen und auf einem gemeinsam genutzten Gerät auch die betreffenden Installationen zu kontrollieren.