A clássica aplicação de desenho do Windows está no centro de um problema de segurança invulgar e altamente complexo. A Microsoft revelou a vulnerabilidade CVE-2026-83844 a 13 de Outubro, uma falha crítica que permite a execução remota de código sem qualquer interacção do utilizador. Este erro de leitura fora dos limites da memória afecta o Paint e possibilita que um atacante não autenticado assuma o controlo de uma máquina através da rede. O cenário agrava-se pelo facto de a correcção ser distribuída exclusivamente através da Microsoft Store, contornando o sistema tradicional de actualizações integradas do sistema operativo e criando um autêntico labirinto logístico para os administradores de sistemas em todo o mundo.
O processo de mitigação transformou-se num quebra-cabeças devido à ausência da actualização nos canais oficiais. A documentação da empresa aponta a versão 11.2609.401.0 como a compilação segura, mas a realidade nos computadores revela um cenário distinto, segundo avança o Windows Latest. Diversos gestores de tecnologias de informação relatam que a loja de aplicações continua a não mostrar qualquer pacote disponível, mesmo com as transferências automáticas activadas. Em muitos casos, os sistemas permanecem retidos na versão 11.2603.251.0, gerando incerteza sobre se a gigante tecnológica retirou acidentalmente o software ou se publicou um número de versão incorrecto nos boletins de segurança. A instalação das actualizações gerais do Windows de Outubro, que corrigiram mais de mil problemas distintos, não resolve esta falha específica, visto que o Paint funciona de forma totalmente independente do núcleo do sistema.
Discrepâncias nos registos de segurança
A confusão com os números das versões tem raízes nos próprios registos oficiais. Inicialmente, a fabricante indicou a compilação 11.2605.91.0 como a edição corrigida, de acordo com as informações recolhidas pelo site Cybersecurity News. Posteriormente, o aviso de segurança foi alterado em silêncio para exigir a versão 11.2609.401.0, sem qualquer nota explicativa sobre a mudança. Esta discrepância cria dificuldades adicionais em ambientes empresariais, uma vez que as ferramentas de varrimento que lêem o registo CVE original podem classificar como seguros computadores que ainda correm risco. Restringir a abertura de imagens de fontes não confiáveis pode reduzir a exposição geral, mas não constitui uma solução confirmada para este vector de ataque de rede específico.
O erro técnico central reside numa anomalia em que o software tenta aceder a áreas de memória para lá da sua fronteira designada. A Microsoft atribuiu à vulnerabilidade uma pontuação CVSS de 8,1, classificando-a como importante, embora não atinja o grau máximo de severidade. A exploração bem-sucedida exige que o atacante envie um pacote de dados especificamente manipulado para um serviço afectado através da rede, sem necessidade de credenciais ou clique da vítima. No entanto, o serviço exacto e o caminho completo do ataque permanecem por identificar publicamente, gerando especulações na comunidade de cibersegurança de que componentes como o Copilot possam estar envolvidos, embora sem confirmação oficial.
Verificação manual e distribuição global
A arquitectura das aplicações modernas do Windows exige uma verificação minuciosa para garantir a protecção total do equipamento. O Paint é instalado separadamente para cada conta de utilizador num computador, existindo ainda uma cópia provisionada que o sistema operativo guarda para instalar automaticamente em novos perfis. Uma simples verificação na conta com sessão iniciada pode ignorar versões vulneráveis escondidas noutros perfis da mesma máquina. Os especialistas recomendam a utilização da linha de comandos PowerShell com privilégios de administrador para auditar todas as cópias presentes no disco rígido, listando as versões associadas a todos os utilizadores e a versão provisionada base.
A disponibilidade da correcção tem variado ao longo dos últimos dias. Brian Vitko, especialista da empresa de software de gestão de dispositivos RFF, verificou as compilações oferecidas em seis países no início da semana e descobriu que a mais recente era a 11.2605.81.0, uma versão ainda vulnerável. Contudo, o cenário começou a mudar gradualmente. Uma análise posterior a dez países demonstrou que a compilação segura já se encontrava disponível globalmente, conforme apurou o The Hacker News. Apesar de a falha não constar no catálogo de vulnerabilidades activamente exploradas da agência de cibersegurança dos Estados Unidos, a recomendação actual para os administradores que não conseguem obter a actualização passa pela remoção completa do Paint em computadores onde a ferramenta não seja estritamente necessária.
