Microsoft Paint RCE (CVE-2026-83844): Windows Update'in Kapsamaması

CVE-2026-83844 — Windows Paint'te bir uzak kod çalıştırma açığının düzeltmesi Microsoft Store'da yayında. Paint bu düzeltmeyi yalnızca Store güncellemesiyle alır; Windows Update sunmaz. Düzeltmeli sürüm 11.2609.401.0.

Açık, bir saldırganın ağ üzerinden kod çalıştırmasına izin verebilecek bir sınır dışı okuma hatasıdır. Microsoft, açığı Önemli (Important), CVSS 8.1 olarak derecelendirdi; başarılı saldırı için hedef sistemin derin memahami gerekir. 13 Ekim'de yayınlandığında istismar edildiği veya kamuoyuna açıklandığı bilinmiyordu; daha bu hafta kontrol edildiğinde CISA'nın bilinen istismar kataloğunda hâlâ yoktu.

İki Farklı Sayı, Bir Tuzak

Microsoft'un advisory belgesi, düzeltmeli sürüm olarak 11.2609.401.0'ı adlandırıyor. Ancak CVE kaydı — ve NVD girdisi — Paint'i yalnızca 11.2605.91.0 altında etkilenmiş sayıyor. CVE kaydını okuyan bir tarayıcı, 11.2605.91.0 ve üzerini düzeltilmiş sayacaktır. Bu sırada araştırmacılar, Store'da 11.2605.81.0'a kadar sürümler buldu — düzeltmesiz — altı ülkede.

Böylece filo, düzeltmesiz build'ler değıtırken tarayıcıda "düzeltilmiş" görünebilir. Advisory'e göre tek güvenli hedef 11.2609.401.0 ve üzeridir.

Tüm Kopyaları Denetleyin

Paint, diğer Store uygulamaları gibi kullanıcı hesabı başına kurulur; Windows her yeni kullanıcıya yüklediği provisioned (ön sağlanğıçlı) bir kopya da saklar. Yalnızca oturumu açık hesabı denetlemek eski kopyaları ıskalar. Brian Vitko'nun test yazısı, yönetici olarak çalıştırılan PowerShell'de her kopyayı ve provisioned imajı listeleyen iki komut verir:

• Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, …
• Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint'

11.2609.401.0 altındaki her kopya için: Store üzerinden güncelleyin (veya Intune'un Store uygulama güncelleme taramasıyla filolara dağıtın), ardından iki komutu yeniden çalıştırıp her kopyanın düzeltilmiş sürümü gösterdiğini doğrulayın.

Advisory'de workaround yok. Düzeltme Store'a gelmeden önce Vitko, kimsenin kullanmadığı sistemlerde Paint'i kaldırmayı önerdi — test edilmedi ama Paint'in gerçekten kullanılmadığı filolarda mantıklı bir yön.

Saldırı Koşulları

Microsoft, bir saldırganın "etkilenen bir servise ağ üzerinden özel hazırlanmış bir paket" göndererek açığı istismar edeceğini, servisi adlandırmadan söylüyor. Saldırı kimlik doğrulaması ve kullanıcı yardımı olmadan gerekmez.

Vitko'nun test makinesi Store otomatik güncellemesiyle düzeltilmiş sürüme geçti — tek makine, filo değil.

Filonun Ölçtüğü Şeyi Ölçmek

Ders, tek CVE değil süreçtir. Store uygulamaları Windows Update ritminin dışında yaşar; bu yüzden yama yönetimi bunları birinci sınıf vatandaş saymalıdır: Intune üzerinden haftalık Store güncelleme taraması, çeyrek dönemsel uygulama istisna gözden geçirmesi ve tarayıcı kuralının advisory'nin düzeltmeli sürümünü denetlemesi, CVE kaydının bayat sürümünden değil. Paint örneği, iki kayıt defterinin haftalarca çelişebildiğini kanıtlar; filonun ölçüm aracı toplayıcı değil advisory'yi izlemelidir. Provisioning yapan ekipler kontrolü golden image hattına gömmelidir; bir ağ taramasından sonra öğrenmek için değil.

Intune kullanan filolar için uygulama güncelleme politikası, Store uygulamalarını da eşit vatandaş saymalıdır; altın imaj pipeline'ına AppxPackage sürüm denetimi, per-user ve provisioned katmanlarda kontrol tuşu olarak eklenmelidir. Hızlı ölçüm, yavaş ölçümden daha doğru ölçümü yapar; advisordaki sürüm numarası takip edilmeli, CVE kaydı değil.

Kaynaklar

• The Hacker News haberi
• MSRC Advisory CVE-2026-83844
• NVD kaydı CVE-2026-83844
• Vitko test yazısı