Tu Windows Update en verde miente sobre Paint
Escuchar el artículo · 3:45
El parche de Paint contra un RCE de 8.1 tardó semanas en llegar a la Store y Microsoft cambió la build fix sin avisar.
En este artículo (4)▼
Microsoft corrigió en octubre un fallo grave de ejecución remota en Paint, pero la versión corregida tardó semanas en aparecer en la Store y la guía oficial cambió de build sin nota de revisión: tu PC pudo seguir expuesto con todo marcado como actualizado.
La build que prometía el arreglo nunca estuvo en la Store
El 13 de octubre, en el Patch Tuesday, Microsoft publicó el CVE-2026-83844: una lectura fuera de límites (CWE-125) en el Paint de Windows 11 que permite ejecución remota de código sin autenticación, con un CVSS de 8.1. La propia Microsoft matiza que explotarlo exige un conocimiento profundo y lo califica como "Exploitation Less Likely". Hasta ahí, rutina de martes de parches. El problema empezó después: la build anunciada como corrección, la 11.2605.91.0, nunca apareció en la Store pública. A principios de noviembre la guía cambió en silencio a la 11.2609.401.0, sin nota de revisión ni explicación, como documentaron The Hacker News y ThreatDefence. Mientras tanto, el administrador Brian Vitko verificó que la Store servía la 11.2605.81.0 vulnerable en seis países. Semanas de ventana con el parche anunciado y sin parche disponible.
Paint se actualiza por un carril que casi nadie vigila
El segundo fallo es estructural y te afecta hoy: Paint es una app de Store, así que su corrección no llega por Windows Update. Puedes tener el sistema al día, el icono verde y la conciencia tranquila, y seguir abriendo imágenes con una versión vulnerable. La comprobación tarda un minuto: abre Microsoft Store, entra en Biblioteca y pulsa Obtener actualizaciones; luego en Paint ve a Configuración, Acerca de, y confirma que estás en la 11.2609.401.0 o superior. Todo lo anterior es vulnerable, y solo afecta a Windows 11: el Paint clásico de Windows 10 no está listado. El patrón alcanza a otras apps del sistema que Microsoft mudó a la Store: comparten ese segundo carril de parches que casi nadie revisa.
Los escáneres dan por sanos equipos que siguen expuestos
La confusión de builds tiene una víctima colateral: el inventario. El registro CVE/NVD aún describe como afectado "todo lo anterior a la 11.2605.91.0", mientras la guía de Microsoft ya exige la 11.2609.401.0. Un escáner que lea el CVE daría por sanas builds intermedias que jamás existieron en la Store pública. A eso se suma un vector de ataque ambiguo: Microsoft habla de un paquete manipulado contra un servicio afectado, que suena a red sin interacción, mientras TechRadar y Neowin describen una imagen maliciosa al abrirla en Paint. Sin aclaración oficial sobre qué formato o servicio dispara la lectura fuera de límites, cada equipo de seguridad está adivinando su superficie real. El contrapeso: no hay explotación conocida en circulación, ni prueba de concepto pública, el EPSS es del 0,73 % y no figura en el catálogo KEV de CISA.
El próximo aviso verde también puede mentir
Nadie discute que Microsoft acabara publicando la build corregida. Lo que sigue sin respuesta es por qué movió la portería en silencio: ni timeline oficial, ni nota de revisión, ni telemetría de cuántos PCs siguen en versiones vulnerables. La semilla en español, de hecho, aún cita la 11.2605.91.0 como fix vigente, prueba de que la desinformación la genera el propio vendor cuando edita la guía sin avisar. Un parche que existe pero no se distribuye, y una guía que cambia sin dejar rastro, rompen el contrato básico del martes de parches: que actualizar sirva para algo.
Fuente: thehackernews.com, threatdefence.com, msrc.microsoft.com
