// CLUBIC — HARDWARE & GADGET
Microsoft corrige une faille dans Paint et le patch se trouve dans le Microsoft Store
Un pirate peut exécuter du code à distance sur votre PC par l’intermédiaire de Paint, sans identifiant ni clic de votre part. Microsoft a corrigé la faille, mais vous devez passer par le Microsoft Store pour récupérer le correctif, car l’éditeur ne le distribue pas par Windows Update.
La faille CVE-2026-83844 est une lecture hors limites de la mémoire dans Paint, le logiciel de dessin de Windows. Dans ce type d’erreur, le programme va chercher des données en dehors de la zone mémoire prévue. Pour l’exploiter, un pirate doit envoyer « un paquet spécialement conçu à un service affecté, via le réseau », précise Microsoft dans son avis de sécurité. L’éditeur ne précise pas de quel service il s’agit. Il a donné à la faille la note de 8,1 sur 10 sur l’échelle CVSS. Toutefois, le pirate doit bien connaître le système de sa victime, reconnaît Microsoft. Le correctif est diffusé uniquement par le Microsoft Store, et vous ne le trouverez pas dans Windows Update.
Dans son avis du 13 octobre, Microsoft indique que Paint est corrigé à partir de la version 11.2609.401.0. La semaine dernière, l’éditeur annonçait encore la version 11.2605.91.0, d’après une question posée sur le forum Microsoft Q&A. Seule l’entrée du 13 octobre apparaît dans l’historique des révisions de l’avis, sans aucune note sur ce changement.
L’ancien numéro est toujours utilisé ailleurs. Dans la fiche CVE officielle et dans la base de vulnérabilités américaine NVD, Paint n’est vulnérable qu’en dessous de la version 11.2605.91.0. Si vous contrôlez vos PC avec un scanner de vulnérabilités alimenté par ces fiches, il vous signalera une machine protégée dès la version 11.2605.91.0, alors que Microsoft demande la 11.2609.401.0. Seules les versions 11.2609.401.0 et suivantes sont sûres d’après les deux références.
Brian Vitko travaille chez RFF, qui conçoit des logiciels de gestion de parc informatique. En début de semaine, il a relevé les versions de Paint proposées dans six pays, et il n’a trouvé partout que la 11.2605.81.0, sans le correctif. Plus tard, sa machine virtuelle de test est passée automatiquement à la version 11.2609.401.0. The Hacker News a constaté, en publiant son article, que c’était la version la plus récente dans les dix pays vérifiés. Le site ignore toutefois à quel rythme les autres PC recevront cette mise à jour. Lors de la publication de l’avis, la faille n’était ni exploitée ni rendue publique, et la CISA, l’agence américaine de cybersécurité, ne l’a pas ajoutée à son catalogue des failles activement exploitées.
Sur votre PC, chaque compte utilisateur dispose de sa copie de Paint. Il existe en outre une copie dite provisionnée, installée sur chaque nouveau compte créé sur la machine. Si vous mettez à jour Paint depuis votre session, les autres comptes du PC et la copie provisionnée peuvent donc garder une version vulnérable.
Pour vérifier toutes ces copies, Brian Vitko a publié sur le blog de RFF deux commandes PowerShell, à lancer en administrateur. Avec la première, vous obtenez la liste des copies de Paint installées sur tous les comptes. Avec la seconde, vous vérifiez la copie provisionnée. Toute copie en dessous de la version 11.2609.401.0 doit être mise à jour par le Microsoft Store, à la main ou par la mise à jour automatique. Relancez ensuite les deux commandes pour vous assurer que toutes les copies sont en version 11.2609.401.0 ou plus récente.
Sur un PC personnel, la vérification est plus rapide. Dans Paint, cliquez sur l’icône des paramètres, en haut à droite, pour afficher le numéro de version. S’il est inférieur à 11.2609.401.0, ouvrez le Microsoft Store, puis la rubrique Bibliothèque, et cliquez sur Obtenir les mises à jour. Faites-le ensuite sur chaque compte de la machine.
Si vous gérez plusieurs PC, vous pouvez déployer la mise à jour de Paint sur tous vos postes avec Intune, l’outil de gestion de parc de Microsoft, ou avec un logiciel équivalent. Vous évitez ainsi de passer d’un compte à l’autre sur chaque machine.
Microsof