Faille critique dans Paint : Microsoft corrige, mais pas pour tout le monde

Une faille dans Paint, le logiciel de dessin livré par défaut avec Windows, expose les ordinateurs à une exécution de code à distance. Référencée CVE-2026-83844, elle a été révélée par Microsoft dans un avis de sécurité daté du 13 octobre, rapporte Clubic. RFF, qui publie cet article, a de son côté mené ses propres vérifications sur le déploiement du correctif.

Une lecture hors limites exploitable à distance

La faille est une lecture hors limites de la mémoire : le programme va chercher des données en dehors de la zone prévue. Pour l'exploiter, un attaquant doit envoyer un paquet réseau spécialement conçu vers un service affecté, sans que la victime clique sur quoi que ce soit ni ne saisisse d'identifiant.

Microsoft a attribué à cette vulnérabilité la note de 8,1 sur 10 sur l'échelle CVSS.

Un correctif distribué seulement par le Store

Le correctif s'applique à partir de la version 11.2609.401.0 de Paint.

Particularité du correctif : il n'est distribué que par le Microsoft Store, pas par Windows Update. Un scanner de vulnérabilités qui s'appuie sur la fiche officielle CVE ou sur la base américaine NVD considérera à tort qu'une machine en version 11.2605.91.0 est protégée, alors que Microsoft exige la 11.2609.401.0.

Des versions encore vulnérables dans plusieurs pays

RFF a relevé, le 5 novembre 2026, la version de Paint proposée dans six pays (États-Unis, Royaume-Uni, Allemagne, Australie, Inde et Singapour) : 11.2605.91.0, sans le correctif. Le 6 novembre, la version 11.2609.401.0 était présente dans les catalogues des États-Unis, du Royaume-Uni et de l'Allemagne.

Le rythme de déploiement sur l'ensemble du parc reste inconnu. Lors de la publication de l'avis, la faille n'était ni exploitée ni rendue publique, et la CISA, l'agence américaine de cybersécurité, ne l'a pas ajoutée à son catalogue des failles activement exploitées.

Complication supplémentaire : chaque compte utilisateur d'un même PC possède sa propre copie de Paint, et une copie dite provisionnée s'installe automatiquement sur tout nouveau compte. Mettre à jour Paint depuis une seule session ne suffit donc pas à protéger les autres comptes de la machine. RFF a publié sur son blog deux commandes PowerShell, à exécuter en administrateur, pour lister toutes les copies installées et vérifier la copie provisionnée.

Ce que ça change pour votre entreprise

Pour une entreprise équipée de Windows, un inventaire des versions de Paint sur chaque poste et chaque compte devient nécessaire, faute de quoi des copies vulnérables peuvent subsister sans alerte des outils de scan classiques. Les parcs gérés avec Intune ou un équivalent peuvent déployer la mise à jour via le Microsoft Store sur l'ensemble des machines, sans repasser compte par compte. Pour une TPE ou une PME qui ne dispose pas d'un tel outil de gestion centralisée, la vérification poste par poste reste possible en exécutant manuellement, en administrateur, les deux commandes PowerShell mentionnées plus haut, qui permettent de lister les copies de Paint installées sur chaque compte et de contrôler la copie provisionnée. Microsoft ne propose aucune solution de contournement en attendant l'installation du correctif.

« un paquet spécialement conçu à un service affecté, via le réseau », Microsoft, avis de sécurité.