0Click en Paint: fallo permite controlar el equipo sin contraseña, sin clic y sin intervención del usuario

El editor gráfico Paint integrado en Windows 11 resultó ser vulnerable a un ataque remoto sin necesidad de ningún clic. Microsoft lanzó la corrección en octubre, pero los usuarios encontraron una sorpresa desagradable. Incluso la actualización automática de las aplicaciones no garantiza la protección.

La vulnerabilidad recibió el identificador CVE-2026-83844 y una puntuación de 8,1 sobre 10 en la escala CVSS. Microsoft divulgó el problema el 13 de octubre de 2026, asignándole el nivel de gravedad Important. El fallo permite a un atacante ejecutar código arbitrario de forma remota en el equipo sin autorización previa ni ninguna acción por parte del propietario.

La causa radica en un error de lectura de memoria fuera de los límites asignados (out-of-bounds read). Según la descripción de Microsoft, un atacante puede enviar un paquete de red especialmente formado al componente vulnerable y lograr ejecución remota de código. La empresa no divulgó la secuencia exacta de explotación ni explicó cómo la petición de red llega al editor gráfico.

La situación con la corrección resultó especialmente desagradable. Microsoft afirma que la versión segura de Paint 11.2609.401.0 se distribuye a través de Microsoft Store. Sin embargo, los periodistas encontraron en un equipo de prueba la compilación 11.2603.251.0, aunque las actualizaciones automáticas estaban activadas. La tienda de aplicaciones no ofreció instalar la nueva versión ni avisó de la falta de la corrección.

Administradores de sistemas confirmaron un problema similar en discusiones en Reddit. Algunos usuarios no pudieron recibir la corrección ni siquiera después de buscar actualizaciones manualmente. Los documentos de Microsoft añadieron confusión al mencionar inicialmente otra compilación corregida, 11.2605.91.0. Aún no se ha establecido la causa de las discrepancias y no hay una explicación oficial sobre el retraso.

Instalar las actualizaciones de octubre de Windows 11 tampoco garantiza la eliminación de la amenaza. Paint recibe correcciones por separado del sistema operativo a través de Microsoft Store. Por ello, un equipo con todos los parches de Windows instalados puede mantener una versión vulnerable del editor gráfico. Las herramientas de seguridad empresariales son capaces de detectar el problema incluso en un sistema completamente actualizado.

Se puede comprobar la versión instalada mediante PowerShell con el comando Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version. Según las recomendaciones vigentes de Microsoft, hay que guiarse por la compilación 11.2609.401.0 o posterior. Si la versión difiere, es necesario verificar las actualizaciones en Microsoft Store. Si la corrección no está disponible, las organizaciones deberían evaluar la necesidad de limitar temporalmente el uso de Paint.

Según el boletín de Microsoft, la explotación de la vulnerabilidad es de alta complejidad y depende de la configuración del sistema. No hay reportes confirmados de ataques reales hasta ahora. El 5 de noviembre apareció información sobre la presencia de la compilación corregida en el catálogo de Microsoft Store para varias regiones, aunque su disponibilidad para todos los usuarios aún no está confirmada.

Problemas similares con las herramientas gráficas de Windows ya habían ocurrido. En mayo Microsoft corrigió la vulnerabilidad de Paint que permitía ejecutar código malicioso tras abrir una imagen especialmente preparada. Y en abril los investigadores encontraron un fallo peligroso en la herramienta Recortes, por el cual los atacantes podían robar credenciales.