Paint di Windows: falla CVE-2026-83844, come controllare

Cosa è successo

Una CVE è il numero di catalogo con cui si identifica una vulnerabilità nota. La CVE-2026-83844 riguarda Paint per Windows e Microsoft l'ha resa nota il 13 ottobre 2026. La gravità è 8,1 su 10 (punteggio CVSS).

Il tipo di errore è una lettura fuori dai limiti: il programma legge dati in una zona di memoria che non dovrebbe toccare. Secondo l'articolo di Punto Informatico, questo potrebbe consentire l'esecuzione di codice sul PC.

Il problema pratico è un altro: l'aggiornamento sembra faticare ad arrivare. L'autore dell'articolo, dopo aver scaricato l'aggiornamento, aveva ancora la versione 11.2605.81.0 e pensa che la distribuzione sia in corso da diverse settimane. È l'esperienza di una persona sola: la fonte è una.

Quanto è rischiosa

Secondo Punto Informatico e secondo l'avviso ufficiale di Microsoft (MSRC) non risultano attacchi noti né la falla era nota pubblicamente prima della correzione. Microsoft classifica lo sfruttamento come "meno probabile": servirebbe una conoscenza approfondita del sistema e il successo non è garantito.

Sul meccanismo le fonti ora concordano. L'avviso Microsoft conferma Punto Informatico: un attaccante non autenticato potrebbe inviare un pacchetto costruito apposta a un servizio via rete, senza che la vittima faccia nulla. Una scheda di SentinelOne, generata con intelligenza artificiale, descriveva invece l'apertura di un file immagine — ma si contraddiceva da sola (il suo stesso codice tecnico diceva che non serve l'azione dell'utente) e non è stata usata.

L'articolo di Punto Informatico avverte anche che alcuni antivirus potrebbero segnalare il problema se Paint non è aggiornato.

Controllare e aggiornare Paint

Due versioni risultano, ed entrambe vengono da Microsoft stessa, non da testate diverse: l'Update Guide di MSRC indica come corretta la 11.2609.401.0 (o successive); la scheda CVE ufficiale che Microsoft compila per il catalogo pubblico (CVE.org e NVD) indica invece vulnerabili le versioni sotto la 11.2605.91.0. Anche la testata Windows Latest segnala la stessa incoerenza, senza saperla spiegare.

Per questo conviene la regola prudente: controlla la versione che hai e, se è più bassa della 11.2609.401.0 (il numero più alto dei due), prova ad aggiornare. Aggiornare quando non serviva non fa danni.

1. Apri Paint.
2. Clicca l'icona Impostazioni: mostra la versione dell'app.
3. In alternativa apri PowerShell e incolla il comando qui sotto: mostra nome e versione di Paint.
4. Per aggiornare apri la scheda ufficiale di Paint nel Microsoft Store (apps.microsoft.com/detail/9pcfs5b6t72h) e aggiorna da lì.
5. Ricontrolla la versione con uno dei due metodi sopra.

Cosa non si sa ancora

Non è verificato quale delle due versioni Microsoft (11.2609.401.0 o 11.2605.91.0) sia davvero quella corretta: le due pubblicazioni di Microsoft si contraddicono e nessuna fonte letta spiega perché.

Microsoft indica come prodotto colpito solo l'app Paint dello Store, senza legarla a una versione di Windows precisa: non sappiamo se Paint su Windows 10 sia interessato.

Non è verificato che lo Store distribuisca ancora la versione vecchia a tutti: ci sono l'esperienza di due autori (Punto Informatico e Windows Latest, entrambi rimasti con versioni precedenti nonostante gli aggiornamenti automatici attivi) e segnalazioni simili di utenti e amministratori riportate da Windows Latest.

Da dove vengono questi dati

La bozza iniziale aveva letto per intero una sola fonte, Punto Informatico (5 novembre 2026): l'avviso Microsoft non era raggiungibile dal suo ambiente automatico. In questa sessione sono stati letti anche l'avviso Microsoft (tramite le sue API pubbliche, dato che la pagina web si carica solo con JavaScript), la scheda CVE ufficiale (CVE.org/NVD) e l'articolo di Windows Latest, che hanno risolto il dubbio sul meccanismo dell'attacco. Resta aperta solo la discrepanza sul numero di versione, perché nasce da due pubblicazioni Microsoft in contraddizione fra loro, non da una fonte non letta.