Microsoft ha reconocido la existencia de una vulnerabilidad de seguridad en Paint, la histórica herramienta de dibujo integrada en Windows 11, capaz de permitir la ejecución remota de código sin necesidad de que el usuario interactúe con el programa ni abra un archivo específico. A pesar de que la compañía de Redmond ha documentado oficialmente la publicación de la correspondiente actualización de seguridad a través de la Microsoft Store, administradores de sistemas y usuarios han constatado que la versión corregida no se encuentra disponible para su descarga en la plataforma, ni siquiera forzando la búsqueda manual de parches.
El fallo de seguridad aparece registrado bajo el identificador CVE-2026-83844 y ostenta una puntuación de severidad de 8,1 sobre 10, clasificado bajo el nivel de riesgo «Importante». Se trata de un error de lectura de memoria fuera de límites (out-of-bounds read), un defecto de programación que permite al código interno de Paint acceder a bloques de memoria protegidos del sistema operativo, abriendo la puerta a que un atacante inyecte e instale instrucciones maliciosas en el equipo de forma remota.
-La brecha entre la documentación oficial de Microsoft y la versión real distribuida en la tienda
Según especifica el boletín de seguridad publicado por Microsoft, la corrección de la vulnerabilidad se desplegó el pasado 13 de octubre mediante el canal de la Microsoft Store. La información oficial sostiene que cualquier compilación de Paint equivalente o superior a la 11.2609.401.0 se encuentra inmunizada frente a posibles vectores de ataque, quedando expuestas únicamente las entregas anteriores.
Sin embargo, la realidad de los despliegues en equipos de consumo y entornos corporativos muestra un panorama muy distinto. En los análisis realizados sobre el terreno, la versión instalada en los sistemas actualizados permanece estancada en la 11.2603.251.0, un número de compilación muy distante de la cifra señalada por Microsoft como segura.
Esta discrepancia ha generado confusión en la comunidad técnica:
- Descarga bloqueada en todos los canales: La versión corregida no salta en las actualizaciones automáticas de la tienda, no se descarga al forzar la búsqueda manual y tampoco resulta accesible mediante la extracción directa de paquetes MSIX desde los servidores de Microsoft mediante herramientas de terceros.
- Confirmación por parte de la comunidad de TI: Administradores de infraestructura han denunciado la situación en comunidades especializadas como Reddit, confirmando la imposibilidad de desplegar la corrección a través de sus plataformas de gestión centralizada de software.
Por el momento, la firma de Redmond no ha aclarado si el número de compilación citado en su documentación corresponde a una entrega futura que ha sufrido retrasos en su distribución o si se trata de una errata en el propio informe de seguridad.
-El mecanismo de explotación en red y la comprobación de versión mediante PowerShell
En la descripción técnica del vector de ataque, Microsoft matiza que la vulnerabilidad presenta cierta complejidad para ser explotada de forma masiva en entornos reales. La propia compañía detalla en su análisis de impacto la secuencia necesaria para desencadenar el fallo:
«Un atacante no autenticado podría aprovechar esta vulnerabilidad enviando un paquete especialmente manipulado a un servicio afectado a través de la red.» — Informe oficial de seguridad, Microsoft.
Pese a que no existen registros públicos que confirmen la existencia de ciberataques activos aprovechando esta brecha, diversas plataformas antivirus orientadas al ámbito corporativo han comenzado a marcar la presencia de versiones anteriores a la 11.2609.401.0 como un riesgo potencial dentro de las auditorías internas de red.
Para verificar qué compilación de Paint se encuentra instalada en un equipo con Windows 11, se puede recurrir a la consola de Windows PowerShell e introducir la siguiente instrucción:
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version
Si la consola devuelve el número 11.2609.401.0 o una cifra superior, el programa dispone del parche oficial; cualquier valor por debajo confirma que la aplicación continúa expuesta. Asimismo, este dato se puede auditar accediendo al panel de Configuración dentro de la propia interfaz de Paint.
-La independencia entre las actualizaciones de Windows Update y el catálogo de la Microsoft Store
El caso de Paint evidencia la separación arquitectónica que Windows 11 mantiene entre el núcleo del sistema operativo y sus aplicaciones nativas. Aunque el paquete acumulativo de parches de octubre de 2026 resolvió más de un millar de vulnerabilidades dentro del sistema base, no corrigió el fallo de Paint debido a que las utilidades del ecosistema gráfico se distribuyen y actualizan de forma independiente desde la Microsoft Store y no a través de Windows Update.
Esta divergencia implica que mantener el sistema operativo actualizado al día no garantiza la protección de las herramientas secundarias. Ante la ausencia de un canal de descarga directo para la versión corregida, las recomendaciones de seguridad pasan por auditar periódicamente la compilación activa mediante la consola y mantener la supervisión sobre los avisos de la tienda de aplicaciones hasta que Microsoft resuelva las incidencias de distribución en sus servidores.