Microsoft Paint bevat ernstig RCE-beveiligingslek: update bereikt gebruikers niet, onduidelijkheid over veilige versie

In Microsoft Paint, de standaard tekenapplicatie van Windows 11, is een ernstige beveiligingskwetsbaarheid ontdekt waarmee aanvallers op afstand mogelijk willekeurige code op een computer kunnen uitvoeren. Het lek, dat wordt bijgehouden onder de identificatie CVE-2026-83844, heeft een CVSS-score van 8,1 op een schaal van 10 en valt daarmee in de categorie High (hoog).

Microsoft maakte de kwetsbaarheid op 13 oktober 2026 bekend en bracht een beveiligingsupdate uit om het probleem te verhelpen. De verspreiding van die update verloopt echter niet probleemloos. Verschillende gebruikers en systeembeheerders melden dat Microsoft Paint ook na het uitvoeren van een updatecontrole niet wordt bijgewerkt naar de beveiligde versie. Bovendien bestaat er verwarring over het exacte versienummer dat nodig is om het beveiligingslek te dichten.

Dat maakt de situatie voor organisaties bijzonder lastig. Het installeren van de nieuwste Windows-updates biedt namelijk niet automatisch de garantie dat ook de afzonderlijk bijgewerkte Paint-applicatie is beveiligd. Beheerders moeten daarom zelf controleren welke versie daadwerkelijk op hun systemen is geïnstalleerd.

Kwetsbaarheid maakt uitvoering van kwaadaardige code mogelijk

De kwetsbaarheid in Microsoft Paint betreft een zogenoemde out-of-bounds read. Daarbij leest een applicatie gegevens buiten het geheugenbereik dat daarvoor is toegewezen. Door een fout in de manier waarop Paint bepaalde gegevens verwerkt, kan een aanvaller mogelijk misbruik maken van de applicatie om kwaadaardige code uit te voeren.

Microsoft classificeert het probleem als een kwetsbaarheid voor uitvoering van externe code (Remote Code Execution, RCE). Dat betekent dat een aanvaller onder bepaalde omstandigheden code kan laten uitvoeren op een kwetsbare computer, zonder daarvoor eerst over geldige gebruikersrechten op dat systeem te beschikken.

Volgens de CVSS-classificatie kan de aanval via een netwerk plaatsvinden. Er zijn geen voorafgaande privileges nodig en er is volgens de technische beoordelingsgegevens geen interactie van de gebruiker vereist. Dat laatste is een belangrijk aspect: de beoordeling vermeldt geen gebruikersinteractie als voorwaarde voor succesvolle exploitatie.

De aanval heeft echter wel een hoge complexiteit. Dat betekent dat het misbruiken van de kwetsbaarheid niet zonder meer eenvoudig is en dat aan bepaalde technische voorwaarden moet worden voldaan. De hoge CVSS-score weerspiegelt vooral de mogelijke impact wanneer een aanval slaagt.

Een succesvolle exploit kan gevolgen hebben voor de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens en systemen. Afhankelijk van de omstandigheden kan een aanvaller bijvoorbeeld toegang krijgen tot gevoelige informatie, gegevens aanpassen of de normale werking van een systeem verstoren.

De combinatie van een netwerkgebaseerde aanvalsmogelijkheid, het ontbreken van vereiste gebruikersrechten en de potentiële impact op een systeem maakt het lek relevant voor zowel particuliere Windows 11-gebruikers als zakelijke IT-omgevingen.

Hoewel de kwetsbaarheid als ernstig is beoordeeld, betekent een CVSS-score van 8,1 niet automatisch dat aanvallers het lek op grote schaal misbruiken. Op het moment van de berichtgeving zijn er geen bevestigde meldingen dat de kwetsbaarheid daadwerkelijk bij aanvallen in het wild wordt gebruikt. Ook is de hoge aanvalscomplexiteit een factor waarmee rekening moet worden gehouden bij het inschatten van het praktische risico.

Microsoft heeft een beveiligingsupdate uitgebracht, maar die is niet overal beschikbaar

Microsoft publiceerde de kwetsbaarheid op 13 oktober 2026 in zijn Security Update Guide. Het bedrijf bracht tegelijkertijd een oplossing uit voor de getroffen versie van Paint.

De update wordt via de Microsoft Store verspreid. Dat is een belangrijk onderscheid met reguliere beveiligingsupdates voor Windows 11. Paint is namelijk een afzonderlijke applicatie die los van de belangrijkste onderdelen van het besturingssysteem kan worden bijgewerkt.

Daardoor kan een computer waarop alle beschikbare Windows-updates zijn geïnstalleerd, toch nog een kwetsbare versie van Paint bevatten.

Verschillende gebruikers en IT-beheerders melden dat de Microsoft Store de update niet aanbiedt. Zelfs wanneer automatische app-updates zijn ingeschakeld, blijft Paint op sommige systemen op een oudere versie staan. Het handmatig controleren op updates in de Store levert volgens deze meldingen evenmin altijd resultaat op.

Ook het uitvoeren van WSReset, het hulpprogramma waarmee gebruikers problemen met de Microsoft Store-cache kunnen proberen op te lossen, blijkt niet in alle gevallen te helpen.

Hierdoor ontstaat een lastig te controleren situatie. De Microsoft Store kan aangeven dat alle applicaties zijn bijgewerkt, terwijl de daadwerkelijk geïnstalleerde Paint-versie nog steeds kwetsbaar is.

Voor organisaties die hun software centraal beheren, is dat een extra aandachtspunt. Een updatebeleid dat normaal gesproken voldoende zekerheid biedt over de installatie van applicatie-updates, blijkt in dit geval niet automatisch te garanderen dat de beveiligingsoplossing daadwerkelijk op alle werkstations terechtkomt.

Onduidelijkheid over het juiste versienummer

Naast de problemen met de verspreiding van de update bestaat er onduidelijkheid over de exacte Paint-versie die als veilig moet worden beschouwd.

In de aanvankelijke informatie van Microsoft werd versie 11.2605.91.0 genoemd als de versie waarin de kwetsbaarheid is verholpen. Dat leidde tot vragen van gebruikers die deze versie niet via de Microsoft Store konden installeren of terugvinden.

Sommige beheerders ontdekten dat hun systemen na een updatecontrole nog steeds een oudere versie gebruikten, zoals 11.2605.81.0. Ook na het opnieuw controleren van de Store en het uitvoeren van aanvullende herstelmaatregelen veranderde het versienummer niet.

Inmiddels vermeldt de Microsoft Security Response Center-pagina voor CVE-2026-83844 versie 11.2609.401.0 als de gepatchte release.

Dat verschil roept vragen op over de eerdere vermelding van versie 11.2605.91.0. Mogelijk was sprake van een onjuiste of verouderde versieaanduiding in de oorspronkelijke informatie. Microsoft heeft vooralsnog niet duidelijk bevestigd waarom de verschillende versienummers worden genoemd.

Voor systeembeheerders is vooral van belang dat de actuele beveiligingsinformatie van Microsoft leidend is. Op basis van de meest recente vermelding geldt versie 11.2609.401.0 als de versie waarin de beveiligingsoplossing is opgenomen. Ook latere versies vallen onder de gepatchte releases.

Het is daarom verstandig niet uitsluitend af te gaan op oudere vermeldingen of op de statusmelding van de Microsoft Store.

Gefaseerde verspreiding mogelijk oorzaak van updateproblemen

Een mogelijke verklaring voor het ontbreken van de update is dat Microsoft de nieuwe Paint-versie gefaseerd verspreidt. Bij een dergelijke uitrol wordt een update niet onmiddellijk aan alle gebruikers en regio's aangeboden.

Dat kan verklaren waarom sommige gebruikers de beveiligde versie al kunnen installeren, terwijl anderen nog geen update aangeboden krijgen.

Er zijn meldingen dat de nieuwe versie in bepaalde regio's eerder beschikbaar is dan in andere gebieden. Zo wordt beweerd dat de update aanvankelijk vooral in delen van Zuid-Azië beschikbaar was. Het is echter niet bevestigd dat de verspreiding daadwerkelijk volgens een dergelijke regionale indeling verloopt.

Een gefaseerde uitrol is op zichzelf niet ongebruikelijk. Softwareleveranciers gebruiken deze methode om updates stapsgewijs beschikbaar te stellen en eventuele problemen tijdens de verspreiding te beperken.

Bij een beveiligingsupdate voor een kwetsbaarheid met een CVSS-score van 8,1 is het echter belangrijk dat duidelijk is welke systemen nog niet zijn bijgewerkt en wanneer de oplossing daar beschikbaar komt.

Voor organisaties kan het ontbreken van een update bovendien leiden tot een verschil tussen de beveiligingsstatus die de beheeromgeving rapporteert en de feitelijke situatie op individuele computers.

Zo controleer je of Microsoft Paint daadwerkelijk is bijgewerkt

Gebruikers en beheerders kunnen de geïnstalleerde versie van Microsoft Paint rechtstreeks via PowerShell opvragen. Dat is betrouwbaarder dan uitsluitend kijken naar de melding in de Microsoft Store.

Open PowerShell en voer het volgende commando uit:

Get-AppxPackage Microsoft.Paint | Select-Object Name, Version

PowerShell toont vervolgens de naam en het versienummer van de geïnstalleerde Paint-applicatie.

Controleer daarbij of de weergegeven versie minimaal 11.2609.401.0 is. Op basis van de meest recente vermelding van Microsoft is dat de gepatchte release.

Een oudere versie betekent dat niet zonder meer kan worden aangenomen dat de beveiligingsoplossing aanwezig is.

Voor beheerders die meerdere Windows 11-computers beheren, is het verstandig deze controle onderdeel te maken van hun reguliere software-inventarisatie. Daarmee kunnen zij vaststellen welke systemen nog een kwetsbare versie gebruiken en waar aanvullende maatregelen nodig zijn.

Wanneer de update nog niet beschikbaar is, kunnen gebruikers later opnieuw via de Microsoft Store op updates controleren. Het is daarbij belangrijk om na installatie opnieuw het daadwerkelijke versienummer te controleren.

Tijdelijke maatregelen voor organisaties en systeembeheerders

Zolang niet alle systemen over de gepatchte versie beschikken, is het verstandig aanvullende beveiligingsmaatregelen te overwegen.

Organisaties kunnen bijvoorbeeld tijdelijk strenger omgaan met afbeeldingsbestanden die afkomstig zijn van onbekende of niet-vertrouwde bronnen. Denk daarbij aan afbeeldingen die als e-mailbijlage worden ontvangen, via externe websites worden gedownload of via andere kanalen binnen de organisatie worden verspreid.

Ook kunnen beheerders het openen en verwerken van niet-vertrouwde afbeeldingsbestanden op kwetsbare systemen tijdelijk beperken. Daarbij is het belangrijk rekening te houden met de manier waarop Paint en andere applicaties binnen de organisatie worden gebruikt.

Wanneer Microsoft Paint niet noodzakelijk is voor de dagelijkse werkzaamheden, kan het verwijderen van de applicatie eveneens een tijdelijke maatregel zijn. Daarmee wordt voorkomen dat de kwetsbare Paint-installatie nog kan worden gebruikt.

Het verwijderen van Paint is echter geen vervanging voor een structureel updatebeleid. Zodra een gepatchte versie beschikbaar is, verdient het aanbeveling de applicatie opnieuw te installeren of bij te werken wanneer deze nodig is.

Voor zakelijke omgevingen is het daarnaast verstandig de installatieversies centraal te inventariseren en de uitrol van de beveiligingsupdate actief te controleren. Vertrouw daarbij niet uitsluitend op de automatische updatefunctie van de Microsoft Store.

Door: Drifter