Aggiornare Windows non basta sempre per aggiornare anche le applicazioni. Per la vulnerabilità CVE-2026-83844 di Paint, Microsoft indica una correzione distribuita tramite Microsoft Store e la versione 11.2609.401.0. È utile verificare l’applicazione stessa e poi controllare che l’aggiornamento sia stato effettivamente installato.
C’è un altro aspetto da tenere presente: nei dati ufficiali attuali, l’attacco è descritto come locale e richiede l’interazione dell’utente; il punteggio CVSS è 7,0. La cronologia indica che Microsoft ha aggiunto una sezione di domande frequenti e aggiornato il punteggio il 7 novembre. Questi dati non riportano quindi più la descrizione di un attacco di rete senza clic, ancora presente in alcuni articoli.
Una lettura fuori limite, una valutazione precisata
Una lettura fuori limite si verifica quando un programma accede a un’area di memoria oltre i limiti di quella che dovrebbe utilizzare. Nel caso di Paint, Microsoft afferma che una vulnerabilità di questo tipo può consentire a un aggressore di eseguire codice sul computer. Si tratta della descrizione di un rischio software: non significa che un determinato dispositivo sia stato attaccato o compromesso.
La scheda di sicurezza distingue il titolo della vulnerabilità, che mantiene l’espressione «Remote Code Execution», dalle condizioni per sfruttarla. In una sezione di domande frequenti, Microsoft precisa che in questo titolo «remote» indica la posizione dell’aggressore, mentre l’azione avviene localmente sul dispositivo della vittima.
Come esempio generale, l’azienda cita il caso di una persona convinta a scaricare e poi aprire un file appositamente predisposto. Il vettore attuale è indicato come locale, richiede un’interazione e presenta una complessità elevata. Quest’ultima qualifica significa che lo sfruttamento richiede determinate condizioni e conoscenze del sistema; non significa che la vulnerabilità possa essere ignorata.
Il punteggio CVSS è un indicatore tecnico di gravità, non la probabilità che una singola persona venga attaccata. Nei dati consultati, Microsoft classifica la vulnerabilità come «Importante» e non segnala sfruttamenti noti. Questa indicazione riflette quanto riportato nell’avviso al momento della verifica, non è una garanzia per il futuro.
Il numero da controllare in Paint
La revisione del 6 novembre chiede di installare la versione 11.2609.401.0 per correggere completamente la vulnerabilità, oppure di assicurarsi che sia stata installata automaticamente. Va bene anche una versione successiva; se l’applicazione è già più aggiornata, non è necessario cercare di tornare a quel numero preciso.
Per visualizzare la versione, Clubic indica l’icona delle impostazioni di Paint, in alto a destra. Se la versione è precedente a quella della patch, aprite Microsoft Store e cercate gli aggiornamenti nella raccolta o nei download, a seconda dell’interfaccia disponibile. Dopo l’installazione, tornate in Paint per verificare il numero effettivamente visualizzato.
Quest’ultimo controllo evita di confondere l’avvio di una ricerca di aggiornamenti con la presenza effettiva della correzione. Il fatto di aver premuto un pulsante non dimostra che sia stata aggiornata l’applicazione corretta, che l’installazione sia terminata o che la stessa versione sia disponibile in tutte le sessioni del PC.
Perché Microsoft Store conta quanto Windows Update
Nella sua documentazione, Microsoft spiega che Store aggiorna automaticamente le applicazioni idonee, salvo quelle aggiornate direttamente dai rispettivi editori. È comunque possibile cercare gli aggiornamenti manualmente, anche quando quelli automatici sono stati messi in pausa.
Su un dispositivo gestito da un’azienda o da una scuola, alcune impostazioni possono dipendere dall’amministrazione informatica. In tal caso è meglio comunicare al servizio competente la versione di Paint rilevata, anziché modificare a caso le policy del dispositivo. Il canale che aggiorna Windows e quello che distribuisce un’applicazione non sono sempre intercambiabili.
Clubic richiama l’attenzione anche sui computer condivisi: altri account possono mantenere la propria installazione e può rimanere una copia predisposta per i nuovi profili. In una flotta informatica, il controllo deve quindi riguardare le copie effettivamente installate, non soltanto quella visibile nella sessione della persona che esegue il test.
Mantenere aggiornato il riferimento di sicurezza
L’evoluzione di questa scheda illustra una difficoltà ricorrente: un articolo può descrivere correttamente un avviso a una certa data, ma risultare poi incompleto dopo una revisione dell’editore. La cronologia Microsoft specifica che il 6 novembre è stata pubblicata una nuova versione di Paint e che il 7 novembre sono stati aggiornati la sezione di domande frequenti e il punteggio.
Occorre quindi tenere presenti entrambi i riferimenti: la versione corretta e la valutazione attuale della vulnerabilità. Installare la patch resta la misura raccomandata; riproporre un vecchio scenario di attacco più allarmante non migliora la protezione. Il controllo più concreto riguarda Paint, Microsoft Store e, su un computer condiviso, le installazioni interessate.
Riferimenti
- Microsoft corregge una vulnerabilità in Paint e la patch si trova nel Microsoft Store
- Dati di sicurezza Microsoft di ottobre 2026 — CVE-2026-83844
- Ottenere gli aggiornamenti per app e giochi in Microsoft Store
Attrezzatura informatica da ufficio. Fotografia a scopo illustrativo; non mostra Paint né un computer colpito dalla vulnerabilità.
Fotografia: Andreas Schwarzkopf — Wikimedia Commons — CC BY-SA 4.0.
