Paint w Windowsie ma groźną lukę. Tak, ten Paint
Microsoft załatał poważną lukę w Paincie, która może prowadzić do zdalnego wykonania kodu. Tyle że wokół poprawionej wersji aplikacji zrobiło się zaskakująco dużo bałaganu.
Paint raczej nie znajduje się wysoko na liście programów, które kojarzymy z poważnymi zagrożeniami dla bezpieczeństwa Windowsa. Przez lata był przede wszystkim tym niepozornym narzędziem, które uruchamiało się, żeby przyciąć zrzut ekranu, zapisać JPEG-a albo narysować koledze wąsy na zdjęciu. Teraz jednak właśnie ta aplikacja jest bohaterem biuletynu bezpieczeństwa opisującego możliwość zdalnego wykonania kodu.
Pod oznaczeniem CVE-2026-83844 kryje się luka typu out-of-bounds read w Microsoft Paint. Jej wykorzystanie może umożliwić nieautoryzowanemu napastnikowi wykonanie kodu za pośrednictwem sieci. Podatność otrzymała 8,1 pkt w dziesięciostopniowej skali CVSS 3.1, a więc została zaliczona do kategorii High.
Czytaj też:
I chociaż już samo „zdalne wykonanie kodu w Paincie” brzmi jak absurdalnie skuteczny materiał na ponury żart o Windowsie, ciekawsza jest dalsza część tej historii. Luka została ujawniona 13 października, ale kilka tygodni później administratorzy wciąż mieli problem z ustaleniem, czy faktycznie otrzymali jej poprawkę.
Paint może być bramą do wykonania obcego kodu
Technicznie CVE-2026-83844 sklasyfikowano jako CWE-125, czyli odczyt poza granicami przydzielonego obszaru pamięci. Oficjalny, bardzo lakoniczny opis mówi o błędzie out-of-bounds read w Windows Paint, który pozwala nieautoryzowanemu napastnikowi wykonać kod za pośrednictwem sieci.
CVSS daje tutaj kilka ważnych punktów odniesienia. Wynik bazowy wynosi 8,1/10, wektor ataku określono jako sieciowy, a do wykorzystania podatności nie są wymagane uprawnienia. Jednocześnie złożoność ataku została oceniona jako wysoka. To ostatnie zastrzeżenie jest szczególnie istotne, bo studzi najbardziej alarmistyczną interpretację całej historii. Nie mamy do czynienia z komunikatem mówiącym, że dowolny napastnik może banalnie i masowo przejmować każdy komputer z Windowsem tylko dlatego, że znajduje się na nim Paint.
O szczegółach samej ścieżki ataku warto zresztą pisać ostrożnie. Microsoft nie przedstawił publicznie szczegółowego łańcucha exploitacji pozwalającego rozwiać wszystkie te wątpliwości. To istotne również dlatego, że określenie „atak przez sieć” bardzo łatwo zamienić w nagłówek sugerujący, że Paint nagle zachowuje się jak wystawiony do Internetu serwer czekający na odpowiednio spreparowany pakiet. Dostępne informacje nie dają podstaw do tak daleko idącego uproszczenia. Potwierdzają natomiast samą możliwość zdalnego wykonania kodu i wysoką ocenę zagrożenia.
Najdziwniejsze zaczęło się jednak przy poprawce
W przypadku większości takich podatności historia powinna zakończyć się nudnym, ale bardzo pożądanym komunikatem: jest luka, producent wydał aktualizację, należy ją zainstalować. CVE-2026-83844 postanowiło jednak mieć drugie życie. Dokumentacja Microsoftu wskazywała początkowo Paint 11.2605.91.0 jako wersję zawierającą poprawkę. Problem w tym, że użytkownicy i administratorzy zgłaszali brak możliwości pobrania tej kompilacji. Microsoft Store nadal dostarczał na części komputerów wcześniejszą wersję 11.2605.81.0.
Ten szczegół zmienia charakter problemu. Przestaje bowiem chodzić wyłącznie o istnienie podatności, a zaczyna również o możliwość wiarygodnego ustalenia, czy konkretny komputer został już zabezpieczony. Przy domowym PC może oznaczać to przede wszystkim irytację. W firmie zarządzającej setkami albo tysiącami urządzeń komunikat „aplikacje są aktualne”, który nie daje administratorowi pewności, czy zainstalowano wydanie eliminujące podatność RCE, jest już czymś znacznie poważniejszym.
Jakby sytuacja nie była wystarczająco nieczytelna, w doniesieniach pojawił się Paint 11.2609.401.0. Właśnie tę wersję Microsoft zaczął wskazywać w MSRC jako poprawioną, podczas gdy wcześniej w dokumentacji figurowało 11.2605.91.0. Czy wcześniejszy numer mógł być zwyczajną pomyłką? To już mocno kuriozalne.
Błędy się zdarzają każdemu. Tyle że numer wersji w biuletynie bezpieczeństwa nie jest kosmetycznym szczegółem pokroju literówki na stronie produktu. Administrator wykorzystuje taką informację, żeby ustalić, czy urządzenie jest podatne, czy może zostało już zabezpieczone. W przypadku podatności pozwalającej na zdalne wykonanie kodu taka niejasność jest więc wyjątkowo niefortunna.
Nie panikowałbym, ale też nie ignorował
Paradoksalnie parametry CVE-2026-83844 dają jednocześnie argument do potraktowania jej poważnie i argument przeciwko sianiu paniki. Z jednej strony mamy możliwość zdalnego wykonania kodu, sieciowy wektor ataku i brak wymaganych uprawnień. Z drugiej Microsoft określił złożoność ataku jako wysoką. CVSS wynoszący 8,1 oznacza kategorię High, a nie Critical.
To nadal zdecydowanie nie jest coś, co warto zostawić bez aktualizacji. Nie oznacza jednak automatycznie trwającej właśnie internetowej apokalipsy, w której samo posiadanie aplikacji Paint wystarczy, żeby komputer za chwilę został przejęty. Tym bardziej warto zachować ostrożność w stosunku do bardzo obrazowych interpretacji krótkiego opisu CVE. W przypadku tej podatności publicznie dostępne informacje dotyczące dokładnego mechanizmu ataku nie są na tyle szczegółowe, aby bez zastrzeżeń opowiadać o jednym konkretnym scenariuszu infekcji.
Dla przeciętnego użytkownika wniosek jest za to banalny: nie warto odkładać aktualizacji aplikacji dostarczanych przez Microsoft Store tylko dlatego, że „to przecież Paint”.
Stary, niewinny Paint już dawno przestał być taki niewinny
Ta historia jest też dobrym przypomnieniem, jak bardzo zmieniło się oprogramowanie, które przez lata traktowaliśmy jak prosty dodatek do systemu. Atakujący nie musi interesować się wyłącznie przeglądarką, sterownikiem karty graficznej czy usługą działającą bez przerwy w tle. Podatność może tkwić również w niepozornej aplikacji przetwarzającej pliki dostarczone z zewnątrz. Aplikacja nie staje się bezpieczna tylko dlatego, że jej najbardziej zaawansowanym zastosowaniem w świadomości milionów użytkowników jest narysowanie czerwonej strzałki na screenshocie.
CVE-2026-83844 świetnie to pokazuje. Microsoft dostał do załatania lukę pozwalającą na zdalne wykonanie kodu w jednym z najbardziej rozpoznawalnych i pozornie nieszkodliwych programów Windowsa. Sama poprawka to jedna część zadania. Drugą jest dostarczenie użytkownikom oraz administratorom jednoznacznej informacji, po której mogą stwierdzić: tak, ten komputer jest już zabezpieczony. I właśnie z tą drugą częścią zrobiło się zdecydowanie więcej zamieszania, niż ktokolwiek powinien oczekiwać po aktualizacji Painta.
Redaktor Spider's Web - ekspert w tematykach Microsoftu i RTV. Lubi oglądać się zarówno za siebie – wspominając przełomowe dokonania w informatyce – jak i przed siebie, będąc nieustannie ciekawym tego, co będzie dalej. Jego zainteresowania to przede wszystkim software: UI/UX, algorytmy, uczenie maszynowe, chmura czy sztuczna inteligencja. Nic dziwnego, że jako specjalizację obrał sobie pilnowanie firmy Microsoft. Uwielbia też sztukę gier i kina, przez co wyrósł na pasjonata sprzętu RTV – a i o technologii wspomnianych gier i filmów ma wiele ciekawego do opowiedzenia. Jego pierwsza obecność w mediach dotyczyła muzyki – współtworzył Overkill.pl. Ciąg dalszy jego rozwoju dotyczył już tylko nowych technologii. Zanim dołączył do zespołu Spider’s Web przez lata współtworzył CHIP.pl i Magazyn CHIP.