Microsoft Paint: Out-of-Bounds-Read ermöglicht Remote Code Execution
Zusammenfassung
In Windows Paint gibt es einen Out-of-Bounds-Read (CWE-125), der einem nicht authentifizierten Angreifer die Ausführung von Code aus der Ferne ermöglicht. Für den Angriff muss das Opfer manipulierte Inhalte, etwa eine Bilddatei, in Paint öffnen. Ein erfolgreicher Angriff kann Code mit den Rechten des angemeldeten Benutzers ausführen und kann zur vollständigen Kompromittierung des Hosts führen.
Betroffen
- Microsoft Paint 11.0.0.0 bis vor 11.2605.91.0
Behoben in
- Microsoft Paint 11.2605.91.0 oder neuer (gemäss CVE-Eintrag; Update-Paket auf MSRC prüfen)
Umgehung
- Kein Workaround des Herstellers bekannt. Das Einspielen des Patches ist die einzige Massnahme laut den Quellen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept-Code gefunden.
- Nicht im CISA-KEV-Katalog. CISA SSVC: Ausnutzung none, automatisierbar no.
- EPSS etwa 0,007 (sehr niedrig).
Unsere Empfehlung
- Das Microsoft-Sicherheitsupdate für Paint im regulären Patch-Zyklus auf allen betroffenen Windows-Clients installieren.
- Paint-Version auf den Endgeräten prüfen und das Update auf der MSRC-Seite verifizieren.
- Falls das Patchen verzögert wird, Paint auf betroffenen Endgeräten einschränken oder entfernen und das Öffnen unbekannter Bilddateien vermeiden.
- Auf ungewöhnliche Paint-Prozessaktivität überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-83844 msrc.microsoft.com
- SentinelOne Vulnerability Database: CVE-2026-83844 www.sentinelone.com
- OpenCVE: CVE-2026-83844 app.opencve.io
- Vulners NVD: CVE-2026-83844 vulners.com
- Vulners MSCVE: MS:CVE-2026-83844 vulners.com
- Strix: CVE-2026-83844 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.