Wer seine Windows-11-Rechner nach dem Oktober-Patchday für sauber hielt, sollte bei Paint noch einmal genauer hinsehen. Microsoft hat die Schwachstelle CVE-2026-83844 im mitgelieferten Bildbearbeitungsprogramm schon am 13. Oktober veröffentlicht und dazu eine korrigierte Version genannt. Herunterladen ließ sich diese Version aber wochenlang nirgends. Spätestens seit Freitagmorgen verteilt der Microsoft Store nun Paint 11.2609.401.0, wie The Hacker News und der Gerätemanagement-Anbieter RFF übereinstimmend berichten. Über Windows Update kommt die Korrektur nicht: Paint ist unter Windows 11 eine Store-App und bekommt seine Updates ausschließlich über den Store.

Was über die Lücke bekannt ist

Laut Microsofts Security Update Guide handelt es sich um einen Lesezugriff außerhalb der Speichergrenzen (Out-of-bounds Read, CWE-125), über den ein nicht angemeldeter Angreifer übers Netz Code ausführen kann. Microsoft bewertet die Lücke mit einem CVSS-Wert von 8,1 und stuft sie als „Wichtig“ ein, also eine Stufe unter „Kritisch“. Der hohe Wert ergibt sich aus dem Vektor: Angriff über das Netz, keine Anmeldung, keine Mitwirkung des Nutzers. Abgeschwächt wird er durch die hohe Angriffskomplexität. Ein erfolgreicher Angriff setzt laut Microsoft ein tiefes Verständnis des Zielsystems voraus.

Ausgenutzt wurde die Lücke nach Microsofts Angaben bislang nicht, öffentlich bekannt war sie vor der Veröffentlichung ebenfalls nicht. Der Hersteller hält eine Ausnutzung für „weniger wahrscheinlich“. Im Katalog aktiv ausgenutzter Schwachstellen (KEV) der US-Behörde CISA steht CVE-2026-83844 auch am Freitag nicht. Betroffen ist laut Update Guide die Store-App „Microsoft Paint“ ab Version 11.0.

Rätselhaft bleibt der Angriffsweg. In den FAQ schreibt Microsoft, ein Angreifer könne die Lücke ausnutzen, indem er ein speziell präpariertes Paket über das Netz an einen betroffenen Dienst schickt. Welcher Dienst das bei einem Bildbearbeitungsprogramm sein soll, erklärt der Hersteller nicht. Weitere technische Details hat Microsoft nicht veröffentlicht.

Verwirrung um die richtige Versionsnummer

Hinter der Verspätung steckt ein Durcheinander bei den Versionsnummern. Bei der Veröffentlichung nannte Microsoft Paint 11.2605.91.0 als korrigierte Fassung. Diese Version tauchte aber nie im Store auf. Am 30. Oktober fragte ein Nutzer im Forum Microsoft Q&A, wo sie zu bekommen sei; die neueste verfügbare Version war 11.2605.81.0. Inzwischen nennen der Update Guide und Microsofts maschinenlesbare Sicherheitsdaten (CVRF) für den Oktober 11.2609.401.0. Die Revisionshistorie vermerkt die Änderung nicht.

Brian Vitko von RFF fragte nach eigenen Angaben am Donnerstag den Produktkatalog des Stores für sechs Länder ab, darunter Deutschland. Überall war 11.2605.81.0 die neueste Version, eine Fassung ohne Korrektur. Am Freitag um 4:14 Uhr UTC lieferte dieselbe Abfrage für die USA, Großbritannien und Deutschland dann 11.2609.401.0. Seine Testmaschine hatte es da schon automatisch installiert. The Hacker News fand die korrigierte Version am Freitag in allen zehn geprüften Ländern. Wie schnell andere Rechner sie bekommen, ist offen. Das Portal Windows Latest hatte am Donnerstag einen PC beschrieben, der trotz aktivierter automatischer Store-Updates noch mit Paint 11.2603.251.0 lief.

Für Admins mit Schwachstellenscannern ist ein weiterer Punkt wichtig: Der offizielle CVE-Eintrag, den Microsoft ebenfalls pflegt, führt Paint weiterhin nur unterhalb von 11.2605.91.0 als verwundbar, die NVD übernimmt diesen Bereich. Ein Scanner, der sich darauf stützt, hält schon 11.2605.91.0 für sicher. Maßgeblich ist die höhere Nummer aus dem Update Guide.

Warum Paint nicht mit Windows Update kommt

Microsoft hat Paint schon 2021 vom Betriebssystem entkoppelt. Seit dem Insider-Build 21354 lässt sich das Programm über den Store aktualisieren, unabhängig von großen Windows-Updates; dasselbe gilt seitdem für das Snipping Tool. Unter Windows 11 ist Paint ein eigenes App-Paket (Microsoft.Paint), das laut Store-Katalog Windows 11 voraussetzt. Der Vorteil: Microsoft kann neue Funktionen und Fehlerkorrekturen unabhängig vom monatlichen Patchday ausliefern. Der Nachteil zeigt sich jetzt. Wer den Patch-Stand nur an Windows Update, WSUS oder den kumulativen Updates misst, übersieht solche Lücken. Der Update Guide nennt für CVE-2026-83844 weder eine KB-Nummer noch einen Eintrag im Update-Katalog, sondern verweist nur auf die Store-Seite von Paint und vermerkt, dass Kunden selbst tätig werden müssen.

Neu ist das Vorgehen nicht. Die als „aCropalypse“ bekannt gewordene Lücke im Snipping Tool (CVE-2023-28303) schloss Microsoft 2023 ebenfalls nur über den Store, im Februar 2026 folgte die Codeausführungslücke CVE-2026-20841 im Editor. Es geht aber auch anders: Eine andere Paint-Lücke vom September, CVE-2026-70586 mit einem CVSS-Wert von 8,8, behob Microsoft über die kumulativen Windows-Updates. Als betroffene Produkte nennt der Update Guide dort die Windows-Versionen selbst, bis zurück zu Windows Server 2012. Wer Paint-Meldungen bearbeitet, muss also jedes Mal nachsehen, über welchen Kanal die Korrektur kommt.

Speichern-Dialog von Paint unter Windows 11 im dunklen Design mit den Schaltflächen Speichern, Nicht speichern und Abbrechen

Bild: Speichern-Dialog von Paint unter Windows 11 (Version 11.2304 aus dem Jahr 2023), Screenshot von PantheraLeo1359531, gemeinfrei, via Wikimedia Commons

Was das für Unternehmen bedeutet

Store-Apps sind pro Benutzerkonto installiert. Zusätzlich hält Windows eine bereitgestellte Kopie (provisioned package) vor, die jedes neu angelegte Profil bekommt. Je nach Umgebung kommt die Korrektur unterschiedlich gut an:

  • Store per Richtlinie gesperrt: Die Richtlinie „Turn off the Store application“ hindert Nutzer laut Microsoft daran, Updates im Store von Hand zu installieren. Die automatischen Updates von UWP-Apps einschließlich der mitgelieferten Windows-Apps stoppt sie aber nicht, solange „Turn off Automatic Download and Install of updates“ (CSP AllowAppStoreAutoUpdate) nicht aktiviert ist. Wer diese zweite Richtlinie gesetzt hat, bekommt die Paint-Korrektur nicht automatisch. Mit „Disable all apps from Microsoft Store“ lassen sich Store-Apps laut Dokumentation weder starten noch aktualisieren.
  • Intune und andere MDM-Systeme: Sie können über den EnterpriseModernAppManagement-CSP einen Update-Scan für Store-Apps anstoßen und so die Aktualisierung auf vielen Rechnern zugleich auslösen.
  • WSUS: Über WSUS lässt sich die Korrektur nicht verteilen, weil Microsoft kein KB-Paket dafür anbietet. Zudem warnt Microsoft, dass Richtlinien, die WSUS-Clients von den öffentlichen Windows-Update-Diensten abschneiden, auch die Verbindung zum Store unterbrechen können.
  • Rechner ohne Internetzugang: Hier bleibt nur, das Paket anderweitig zu beschaffen. Microsoft dokumentiert dafür winget download, das Store-Pakete samt Offline-Lizenz herunterlädt. Das setzt eine Anmeldung per Entra ID mit einer Administratorrolle voraus. Ob das mit der vorinstallierten Paint-App reibungslos klappt, haben wir nicht getestet.

Was du jetzt tun solltest

Einen Workaround nennt Microsoft nicht, es hilft nur das Update. Prüfe zuerst, welche Version installiert ist. In Paint selbst zeigen die Einstellungen (Zahnradsymbol) die Versionsnummer. Per PowerShell geht es für das eigene Konto so:

Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

Admins sollten in einer PowerShell mit Administratorrechten zusätzlich die Kopien aller Benutzer und die bereitgestellte Kopie abfragen. Ohne -AllUsers siehst du nur dein eigenes Konto. Die beiden Befehle stammen aus Vitkos Testbericht:

Get-AppxPackage -AllUsers -Name Microsoft.Paint |
  Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online |
  Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

Alles unter 11.2609.401.0 ist verwundbar. Ob der Store für dein Land die korrigierte Version schon anbietet, zeigt eine Abfrage des Store-Katalogs, ebenfalls aus Vitkos Bericht (hier mit dem Markt Deutschland). Gibt sie 11.2609.401.0 oder höher aus, kann ein Store-Update die Korrektur installieren:

$u = 'https://displaycatalog.mp.microsoft.com/v7.0/products?bigIds=9PCFS5B6T72H&market=DE&languages=de-de'
[regex]::Matches((Invoke-WebRequest $u -UseBasicParsing).Content, 'Microsoft\.Paint_([\d.]+)_') |
  ForEach-Object { [version]$_.Groups[1].Value } | Sort-Object -Unique | Select-Object -Last 1

Danach gehst du so vor:

  • Aktualisieren: Schließe Paint, öffne den Microsoft Store und suche unter „Downloads“ beziehungsweise in der „Bibliothek“ nach Updates. Laut Update Guide ist eventuell ein Neustart nötig. In verwalteten Umgebungen stößt du den Store-Update-Scan über dein MDM an.
  • Kontrollieren: Führe die Abfragen danach erneut aus. Jede Kopie, auch die bereitgestellte, sollte mindestens 11.2609.401.0 zeigen.
  • Scanner anpassen: Prüfe, ob dein Schwachstellenscanner die Grenze aus dem CVE-Eintrag (11.2605.91.0) oder die aus dem Update Guide verwendet, und setze sie im Zweifel selbst auf 11.2609.401.0.

Quellen

Bildnachweis