Microsoft a rendu publique la vulnérabilité CVE-2026-83844, une faille de sécurité découverte dans le code de Paint sur les systèmes Windows, et le risque est substantiel. Selon les informations disponibles, cette vulnérabilité, classée à un niveau CVSS de 8,1 (HIGH), permet à un attaquant non authentifié d’exécuter du code à distance simplement en envoyant un paquet spécialement préparé sur le réseau de la victime. Bien qu’aucune attaque réussie n’ait été documentée jusqu’à présent, la porte est ouverte.

La nature exacte du problème est un « out-of-bounds read », comme l’explique Microsoft ; en termes simples, cela signifie que le logiciel autorise la lecture de zones de mémoire qui ne devraient pas être accessibles. Ce mécanisme, s’il est exploité, permettrait l’exécution de commandes malveillantes sur le poste de travail. Les sources confirment cette sévérité, citant des advisories comme GitHub GHSA-2h2h-j632-qrgj pour corroborer ce niveau de menace.

Ce qui est touché et la gravité réelle

L’impact se concentre sur l’application Paint intégrée à Windows. Le danger réside dans le caractère à distance de l’exploitation : l’utilisateur n’a pas besoin d’ouvrir le fichier ou de cliquer sur quoi que ce soit ; le simple fait de se trouver sur le même réseau qu’un attaquant peut suffire. D’ailleurs, il est intéressant de noter que l’application elle-même semble avoir pris du poids, atteignant plus de 720 Mo après une réinstallation depuis le Microsoft Store, probablement suite à l’intégration de fonctionnalités d’intelligence artificielle, ce qui ne diminue en rien le risque de cette faille.

Qui doit agir et comment

La solution proposée par Redmond est claire : mettre à jour l’application via le Store officiel. La version corrigée intervient dans la release 11.2609.401.0 et les suivantes. Si vous utilisez une version antérieure, vous êtes exposé. Pour vérifier votre statut, une commande simple dans PowerShell permet de lister la version : powershell Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version. Certains utilisateurs rapportent des délais de déploiement, notant que même après plusieurs semaines de mise à disposition du correctif, la nouvelle version n’apparaît pas immédiatement, comme ce fut le cas pour un utilisateur dont la version restait à 11.2605.81.0.

Pour ceux qui hésitent ou qui ne peuvent pas se mettre à jour immédiatement, il est difficile de ne pas se demander si des contournements existent. Les sources indiquent que l’exploitation réelle de cette faille est complexe, ce qui réduit la probabilité immédiate d’une compromission, mais cela ne doit pas être interprété comme une garantie de sécurité.

Pour sécuriser son poste, il faut donc impérativement s’assurer que l’application est à jour. La vigilance doit se porter sur les notifications du Microsoft Store ou, à défaut, sur l’exécution manuelle de la vérification de version. On attend de voir si Microsoft accélérera le déploiement de la patch pour atteindre une couverture plus large des utilisateurs.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Grave vulnerabilità per Paint su Windows: aggiorna subito (se puoi), Punto Informatico, 5 novembre 2026
• Microsoft Paint CVE-2026-83844 lets hackers hack Windows 11 PCs over internet, Neowin, 4 novembre 2026
• GHSA-2h2h-j632-qrgj : Out-of-bounds read in Windows Paint allows an unauthorized attacker to execute code over…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-83844, NVD (NIST)