La faille Paint CVE-2026-83844 est corrigée, mais uniquement via le Microsoft Store et non via Windows Update.

Microsoft a publié un correctif pour une faille Paint permettant l’exécution de code à distance. Cette vulnérabilité porte l’identifiant CVE-2026-83844. Cependant, il y a un piège : la mise à jour n’arrive pas par Windows Update. Elle est distribuée uniquement par le Microsoft Store.

Beaucoup d’utilisateurs risquent donc de passer à côté. En effet, ceux qui se contentent d’installer les mises à jour système pourraient croire leur machine protégée alors qu’elle ne l’est pas.

Faille Paint : ce que l’on sait de CVE-2026-83844

La vulnérabilité touche l’application Paint de Windows. Il s’agit d’une lecture hors limites, connue en anglais sous le nom d’out-of-bounds read. Ce type de défaut survient lorsqu’un programme lit des données en dehors de la zone mémoire prévue.

Dans ce cas précis, l’erreur pourrait permettre à un attaquant d’exécuter du code par le réseau. Autrement dit, la faille entre dans la catégorie des exécutions de code à distance, ou RCE. Ces failles figurent parmi les plus surveillées par les équipes de sécurité.

Toutefois, les informations disponibles ne détaillent pas tous les paramètres de l’attaque. Le niveau de gravité attribué par Microsoft doit donc être consulté dans l’avis officiel de l’éditeur. De même, aucune exploitation active n’est évoquée dans les éléments dont nous disposons.

Un correctif livré uniquement par le Microsoft Store

La version corrigée de Paint porte le numéro 11.2609.401.0. Elle est disponible dans le Microsoft Store. Par ailleurs, des vérifications menées dans dix pays montrent qu’il s’agissait, le jour du contrôle, de la build la plus récente de l’application.

Ce constat est rassurant à un titre. Le correctif n’est pas réservé à une région ou à un petit groupe d’utilisateurs. En revanche, il faut que le Store effectue réellement la mise à jour sur chaque poste.

Microsoft a en effet distribué Paint comme une application du Store, et non comme un composant figé du système. Ainsi, son cycle de mise à jour est indépendant de celui de Windows. Cela permet des correctifs plus rapides. Mais cela impose aussi de surveiller un canal supplémentaire.

Pourquoi Windows Update ne suffit pas

Les administrateurs ont l’habitude de s’appuyer sur Windows Update, WSUS ou des outils de gestion de parc pour appliquer les correctifs. Or ces canaux ne délivrent pas la mise à jour de Paint dans ce cas. Par conséquent, un poste parfaitement à jour côté système peut rester vulnérable.

Ce décalage pose plusieurs difficultés :

• les rapports de conformité basés sur Windows Update peuvent afficher un faux sentiment de sécurité ;
• les postes dont le Store est bloqué ou restreint ne recevront pas le correctif automatiquement ;
• les environnements isolés ou très contrôlés demandent une procédure dédiée.

De plus, de nombreux utilisateurs ignorent que Paint se met à jour séparément. Ils n’ouvrent jamais le Store et ne pensent pas à y chercher des mises à jour. C’est pourquoi la communication autour de cette faille est importante.

Comment se protéger de la faille Paint

La démarche est simple pour un utilisateur isolé. D’abord, ouvrez le Microsoft Store. Ensuite, rendez-vous dans la bibliothèque et lancez la recherche de mises à jour. Enfin, vérifiez que Paint affiche bien la version 11.2609.401.0 ou une version plus récente.

Pour les entreprises, la tâche est plus complexe. Voici quelques pistes :

1. Inventoriez les postes où Paint est installé et relevez la version de l’application.
2. Vérifiez que les mises à jour automatiques du Store ne sont pas désactivées par une stratégie.
3. Si le Store est restreint, prévoyez un autre mode de déploiement validé par votre équipe informatique.
4. Contrôlez le résultat après le déploiement, sans vous fier uniquement à Windows Update.

Par ailleurs, il reste prudent de ne pas ouvrir de fichiers image provenant de sources inconnues. Cette précaution ne remplace pas le correctif. Elle réduit néanmoins l’exposition tant que la mise à jour n’est pas appliquée.

Ce qu’il faut retenir

• La vulnérabilité CVE-2026-83844 est une lecture hors limites pouvant conduire à une exécution de code à distance dans Windows Paint.
• Le correctif figure dans la build 11.2609.401.0 de Paint.
• Cette mise à jour est diffusée uniquement par le Microsoft Store, pas par Windows Update.
• Il faut donc vérifier manuellement la version de Paint, ou s’assurer que les mises à jour du Store sont actives.
• Les équipes informatiques doivent intégrer le Store dans leur suivi des correctifs, sous peine de laisser des postes exposés.

Cet épisode rappelle une réalité souvent négligée. Les applications livrées avec Windows ne dépendent plus toujours des mises à jour du système. Ainsi, une bonne hygiène de correctifs suppose désormais de surveiller aussi les applications du Store.

Source : Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It