Pembaruan untuk mengatasi celah keamanan remote code execution CVE-2026-83844 pada aplikasi Windows Paint kini telah tersedia di Microsoft Store. Pengguna hanya dapat memperoleh perbaikan ini secara langsung melalui unduhan Store, bukan melalui mekanisme rutin Windows Update.
Versi teranyar yang membawa perbaikan tersebut adalah build 11.2609.401.0, yang tercatat sebagai rilisan Paint paling mutakhir di sepuluh negara saat dipantau oleh redaksi The Hacker News hari ini.
Kerentanan bersangkutan dipicu oleh masalah out-of-bounds read yang berpotensi memberi jalan bagi pelaku peretasan untuk menjalankan kode instruksi berbahaya melintasi jaringan. Pihak Microsoft memberi label tingkat keparahan Important dengan skor CVSS 8.1, sembari menambahkan bahwa upaya eksploitasi yang berhasil menuntut pemahaman teknis mendalam atas sistem sasaran. Celah ini belum teridentifikasi dieksploitasi ataupun dipublikasikan luas kala Microsoft merilis laporannya pada 13 Oktober.
Brian Vitko, peneliti dari penyedia perangkat lunak manajemen gawai RFF, sempat memeriksa distribusi versi Paint di etalase Store pada enam negara berbeda pada awal pekan ini. Temuan awalnya memperlihatkan bahwa versi teranyar yang terpasang kala itu masih berada pada build 11.2605.81.0, yang sebetulnya belum mengantongi tambalan mitigasi.
Namun, mesin virtual pengujian miliknya belakangan sukses beralih ke build yang telah diperbaiki secara otomatis berkat fitur pembaruan mandiri milik Store. Kendati satu perangkat terbukti berhasil diperbarui, kecepatan distribusi pembaruan otomatis ke komputer-komputer lain hingga kini masih belum dapat dipastikan.
Versi Build Mana yang Dinyatakan Aman
Lembar panduan keamanan resmi Microsoft mencantumkan rilis 11.2609.401.0 sebagai build yang memuat perbaikan penuh. Sementara itu, catatan CVE terkait kerentanan ini yang turut dipublikasikan perusahaan justru masih menyebut Paint terdampak hanya pada rilisan sebelum versi 11.2605.91.0. Rentang data yang persis sama juga tercantum dalam catatan basis data NVD.
Akibatnya, aplikasi pemindai kerentanan yang bersandar pada dokumentasi CVE bakal menganggap versi 11.2605.91.0 ke atas sebagai versi yang aman. Adapun instalasi yang berada di level 11.2609.401.0 atau sesudahnya tetap lolos verifikasi di bawah kedua parameter tersebut.
Padahal pekan lalu, pengumuman keamanan vendor sempat menyatakan versi 11.2605.91.0 sebagai batas aman, sebagaimana diungkap dalam diskusi forum Microsoft Q&A. Kendati terjadi perubahan acuan angka, riwayat revisi resmi dokumen tersebut tetap hanya menampilkan catatan tanggal 13 Oktober tanpa penjelasan riwayat koreksi tambahan.
Metode Memeriksa Setiap Salinan Paint pada Sistem
Paint, serupa program aplikasi Store lainnya, dipasang tersendiri bagi masing-masing akun pengguna di satu komputer. Windows juga kerap menyimpan salinan provisi yang secara otomatis disiapkan bagi tiap profil pemakai baru. Pemeriksaan berkas yang hanya bertumpu pada akun aktif berisiko melewatkan keberadaan instalasi versi lawas.
Dalam tinjauan pengujian miliknya, Vitko menyarankan eksekusi sepasang baris perintah lewat PowerShell yang dijalankan dengan hak administrator. Baris awal bertugas memetakan salinan Paint milik seluruh pemakai, sedangkan perintah berikutnya melacak salinan terprovisi.
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = ‘Users’; e = { $_.PackageUserInformation.UserSecurityId.Username -join ‘, ‘ } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq ‘Microsoft.Paint’ | Select-Object Version
Bila masih ditemukan salinan versi di bawah 11.2609.401.0:
Pihak Microsoft belum merilis metode perbaikan alternatif maupun langkah mitigasi sementara. Sebelum tambalan hadir di Store, Vitko sempat menyarankan pencopotan menyeluruh aplikasi Paint jika tidak diperlukan, baik dari seluruh akun maupun paket provisi, kendati tindakan itu belum ia uji langsung.
Kondisi Serangan dan Status Eksploitasi
Berdasarkan lembar panduan teknis, pihak penyerang berpeluang menyusup dengan cara mengirimkan “paket data yang dirancang khusus ke layanan terdampak melalui jaringan,” walau dokumen tidak merinci identitas servis target. Penetrasi tersebut dilaporkan tidak membutuhkan autentikasi akun maupun campur tangan pengguna.
Celah tersebut belum terdaftar dalam katalog Known Exploited Vulnerabilities milik Cybersecurity and Infrastructure Security Agency Amerika Serikat saat diverifikasi The Hacker News hari ini, yang pembaruannya terakhir digulirkan awal pekan.
