Paint : le correctif de CVE-2026-83844 est dans le Microsoft Store, pas dans Windows Update

Le 6 novembre 2026, la version 11.2609.401.0 de Paint, celle qui corrige la faille CVE-2026-83844, était proposée par le Microsoft Store. Windows Update ne l’installe pas : Paint est une application du Store, et Microsoft marque l’action client comme requise.

La faille est publique depuis le 13 octobre 2026. C’est une lecture hors limites qui, selon la fiche CVE rédigée par Microsoft, permet à un attaquant non authentifié d’exécuter du code via le réseau. Le score CVSS 3.1 est de 8,1, avec une complexité d’attaque élevée, aucun privilège préalable et aucune interaction de l’utilisateur. L’exploitation était marquée non démontrée. Ce correctif ne faisait pas partie du Patch Tuesday d’octobre, qui passe par Windows Update.

Deux numéros ont circulé, un seul tient

À la publication, le 13 octobre, Microsoft a nommé 11.2605.91.0 comme version corrigée. Brian Vitko, de l’éditeur d’administration RFF, écrit que cette version n’est apparue nulle part, et que des administrateurs ne la trouvaient pas le 30 octobre sur Microsoft Q&A. Au 4 novembre, les données CVRF d’octobre, le fichier machine que Microsoft publie pour ses mises à jour, indiquaient déjà 11.2609.401.0 pour le produit « Microsoft Paint », avec la mention « Customer Action Required: Yes » et un lien vers la fiche Store. L’historique de révision de ce document ne comportait qu’une entrée, datée du 13 octobre : le changement de numéro n’y est pas expliqué.

La fiche CVE, lue le 7 novembre 2026 au matin via l’API CVE, a été mise à jour le 6 novembre à 21 h 50 UTC. Elle indique désormais Paint affecté de 11.0.0.0 jusqu’avant 11.2609.401.0. Plus tôt le même jour, The Hacker News et le billet de Vitko voyaient encore l’ancien seuil, 11.2605.91.0. Un scanner calé sur l’ancienne fiche aurait donc déclaré saine une copie qui ne l’était pas. La fiche du soir aligne enfin le seuil sur 11.2609.401.0.

Quand le Store a commencé à la proposer

Vitko a interrogé le catalogue du Store. Le 5 novembre à 3 h 34 UTC, le paquet le plus récent était 11.2605.81.0 sur six marchés, dont Singapour, le marché vers lequel l’avis Microsoft renvoyait. Le 6 novembre à 4 h 14 UTC, la même requête renvoyait 11.2609.401.0 pour les États-Unis, le Royaume-Uni et l’Allemagne. Sa machine virtuelle de laboratoire, jointe à un domaine, avait déjà reçu cette version par la mise à jour automatique du Store, pour l’utilisateur connecté et pour la copie provisionnée.

The Hacker News a vérifié dix pays dans la journée du 6 novembre et y a trouvé 11.2609.401.0 comme version la plus récente. Cela ne dit pas que chaque PC l’a déjà téléchargée. Tant que la mise à jour automatique du Store est coupée, ou qu’elle n’a pas tourné, une machine à jour via Windows Update peut garder un Paint vulnérable.

Vérifier toutes les copies

Depuis un PowerShell lancé en administrateur, deux commandes listent la version de chaque compte, puis la copie provisionnée :

Get-AppxPackage -AllUsers -Name Microsoft.Paint

Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint'

Sans -AllUsers, seule la copie du compte courant apparaît. Toute version inférieure à 11.2609.401.0 est à mettre à jour depuis le Store, ou via l’analyse de mises à jour des applications Store dans Intune et les autres outils d’administration. L’avis ne documente pas de contournement. Retirer Paint, piste évoquée par Vitko quand le correctif était absent du catalogue, n’est plus nécessaire une fois la 11.2609.401.0 installée partout.

Microsoft décrit l’attaque, dans sa foire aux questions reprise par Vitko, comme l’envoi d’un paquet spécialement conçu vers un service affecté. L’avis ne nomme pas ce service. The Hacker News ne trouvait pas la faille au catalogue KEV de la CISA le 6 novembre.

Sources

• Fiche CVE-2026-83844, mise à jour le 6 novembre 2026 à 21 h 50 UTC, lue le 7 novembre via l’API CVE.

• Billet de Brian Vitko, RFF, mis à jour le 6 novembre 2026.

• The Hacker News, 6 novembre 2026.

• Guide Microsoft de la vulnérabilité.