Paint: el arreglo de la falla CVE-2026-83844 llega por la Store, no por Windows Update

Si usás Windows 11, tu Paint necesita un arreglo de seguridad que no llega por Windows Update. Microsoft corrigió la falla CVE-2026-83844 en la versión 11.2609.401.0 de Paint, y esa versión se reparte solo por la Microsoft Store. Lo comprobamos el 6 de noviembre de 2026 en el catálogo de la Store para Argentina y Estados Unidos: la 11.2609.401.0 ya está ahí.

Qué hacer hoy, en dos minutos: abrí la Microsoft Store, pedile que busque actualizaciones y después fijate qué versión de Paint quedó. Tiene que ser la 11.2609.401.0 o una posterior. Que la versión esté en la Store no quiere decir que ya te haya llegado: no se sabe a qué ritmo la reparte Microsoft, así que conviene mirarlo en vez de suponerlo. Según el catálogo de la Store, este paquete de Paint pide Windows 11.

Por qué Windows Update no alcanza

Paint es una app de la Microsoft Store, y se actualiza por la Store, no con los parches mensuales de Windows. Microsoft marca esta falla con la etiqueta «Customer Action Required» (hace falta que el usuario haga algo) y su ficha nombra como arreglo una actualización de la app de la Store. Por eso, como explicó Windows Latest, instalar la actualización de octubre de Windows 11 no te protege de esto si Paint no se actualizó por su lado.

Y hubo un problema extra: según Brian Vitko, de RFF (una empresa de software de gestión de equipos), desde la publicación del 13 de octubre hasta el 5 de noviembre la versión corregida no estuvo en la Store, que seguía ofreciendo una versión vieja como la más nueva. Así, hasta una PC con la actualización automática activada se quedaba sin el arreglo. Windows Latest, además, encontró su Paint en la 11.2603.251.0, más vieja incluso que la que ofrecía la Store, con las actualizaciones automáticas prendidas. Según las consultas de RFF al catálogo en Estados Unidos, el Reino Unido y Alemania, la versión corregida apareció entre el 5 de noviembre a las 00:34 y el 6 de noviembre a la 01:14, hora argentina.

Qué hacer, paso a paso

1. Actualizar desde la Store

Abrí Microsoft Store y pedile que busque actualizaciones de tus apps (en la página de soporte de Microsoft el botón figura como «Buscar Novedades»; el nombre cambia un poco según la versión de la Store). Según Microsoft, las actualizaciones de apps son automáticas salvo que las hayas pausado, así que también puede que ya te haya llegado sola: Vitko cuenta que su máquina de prueba pasó a la versión corregida por su cuenta.

2. Comprobar la versión

Dos formas:

• En la configuración de Paint (el engranaje), donde aparece la versión de la app, que es donde la miró Windows Latest.
• En PowerShell, con este comando: Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

Si dice 11.2609.401.0 o un número más alto, listo. Si dice algo más bajo, volvé a pedir actualizaciones en la Store y revisá que no las tengas en pausa.

Qué tan grave es

Microsoft la publicó el 13 de octubre de 2026 y la califica como Importante (no Crítica), con un puntaje CVSS de 8,1. Es una lectura de memoria fuera de límites que, según la ficha, permitiría ejecutar código por la red, sin iniciar sesión y sin que el usuario haga nada. La contracara: Microsoft le pone complejidad de ataque alta y la considera de explotación menos probable («Exploitation Less Likely»). Al publicarla, no estaba divulgada ni había ataques conocidos.

Microsoft dice que un atacante podría aprovecharla mandando un paquete armado a un servicio afectado por la red. Para un editor de imágenes es una descripción rara, y Vitko lo señala: la ficha no dice más, y él dice que no sabe cuál es el disparador real. Así que la lectura sensata es la del medio: no es para entrar en pánico, pero es una actualización gratis y rápida. Raro sería no hacerla.

El lío del número de versión

Si te encontraste con otro número, no es tu culpa. Al publicar la falla, Microsoft nombró como corregida la 11.2605.91.0, una versión que, según RFF, nunca apareció en la Store. Más tarde la cambió por la 11.2609.401.0 sin agregar una nota en el historial de la ficha. El 30 de octubre todavía había usuarios en el foro de Microsoft preguntando dónde estaba la 11.2605.91.0.

Hoy conviven los dos números: la ficha de Microsoft dice 11.2609.401.0, pero el registro público del CVE sigue diciendo que solo están afectadas las versiones anteriores a 11.2605.91.0. Un escáner de vulnerabilidades que lea ese registro puede dar por segura una versión que Microsoft no considera corregida. La salida es simple: guiate por la 11.2609.401.0, que pasa con cualquiera de los dos números.

Si administrás varias PC

Ojo con un detalle que la comprobación rápida no ve: Paint se instala aparte para cada cuenta de usuario de la PC, y Windows puede guardar además una copia «aprovisionada» que se instala a cada usuario nuevo. Revisar solo tu sesión puede dejar copias viejas. Vitko propone dos comandos en PowerShell abierto como administrador: el primero lista la copia de cada usuario, con la versión y a quién pertenece, y el segundo, la aprovisionada.

• Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
• Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

Si usás Intune u otra herramienta de gestión, podés forzar desde ahí la búsqueda de actualizaciones de apps de la Store en todas las PC a la vez. Después, volvé a correr los dos comandos y comprobá que todas las copias estén en 11.2609.401.0 o más. Vitko había sugerido sacar Paint donde nadie lo usara mientras el arreglo no estaba; ahora que llegó, dice que eso ya no hace falta.

Fuentes

• Microsoft, ficha de CVE-2026-83844 en la Security Update Guide (en inglés), 13 de octubre de 2026, con la versión corregida 11.2609.401.0 en sus datos consultados el 6 de noviembre. Severidad, puntaje, vía de arreglo y estado de explotación.
• Microsoft Store, ficha de Paint. Comprobamos el 6 de noviembre en el catálogo de la Store para Argentina y Estados Unidos que el paquete 11.2609.401.0 ya figura.
• Registro de CVE-2026-83844 en cve.org (en inglés), que todavía da como afectadas solo las versiones anteriores a 11.2605.91.0.
• Soporte de Microsoft, «Obtener actualizaciones de aplicaciones y juegos en Microsoft Store».
• The Hacker News, «Microsoft Paint RCE Fix Now Available, but Windows Update Won’t Deliver It» (en inglés), 6 de noviembre de 2026.
• RFF (Brian Vitko), «Windows Paint CVE-2026-83844: the fixed build is in the Microsoft Store now. Check your fleet» (en inglés), actualizado el 6 de noviembre de 2026, hora argentina. Las consultas al catálogo y los comandos para administradores.
• Windows Latest, «Windows 11’s Paint has a no-click hacking bug, and even with auto-updates on, you may not have the fix» (en inglés), 4 de noviembre de 2026, hora argentina.
• Créditos de imagen: la portada y la infografía son fotomontajes editoriales asistidos por IA con la captura de pantalla y el ícono oficiales de Paint que Microsoft publica en la Microsoft Store; los datos son de la ficha de Microsoft y del catálogo de la Store.