Das Malprogramm Paint trägt seit dem 13. Oktober eine Sicherheitslücke mit 8,1 von 10 Punkten. Angreifer brauchen laut Microsoft weder Konto noch Klick eines Nutzers, aber viel Vorwissen. Ausgenutzt wurde sie bisher nicht, das Update kommt über den Microsoft Store.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Microsoft hat am 13. Oktober die Sicherheitslücke CVE-2026-83844 in Windows Paint veröffentlicht, die einem Angreifer laut Beschreibung Codeausführung über das Netzwerk erlauben könnte. Die Store-Version 11.2609.401.0 schließt sie, Microsoft stuft sie als „wichtig“ ein.[1]
Das Wichtigste in Kürze
- Microsoft beschreibt einen Lesefehler außerhalb des Speicherbereichs (CWE-125), der Codeausführung über das Netzwerk erlauben soll.[1]
- Die Bewertung liegt bei 8,1 von 10 Punkten. Microsoft nennt die Komplexität des Angriffs hoch, ein Erfolg ist nicht garantiert.[1]
- Behoben ist der Fehler in Paint 11.2609.401.0, der CVE-Eintrag nennt als Grenze noch eine ältere Nummer.[1][2]
- Angriffe sind laut Microsoft nicht bekannt, die Ausnutzung gilt als weniger wahrscheinlich.[1]
Wie wird ein Malprogramm zum Netzwerkrisiko?
Ein Lesefehler außerhalb des Speicherbereichs entsteht, wenn ein Programm Daten hinter dem Ende eines reservierten Puffers liest.[3] Meist liefert das Informationen aus fremdem Speicher oder bringt das Programm zum Absturz. Zur Codeausführung führt der Fehler erst, wenn der Angreifer weitere Schwächen verkettet. Dazu passt die Wertung: Laut Microsoft setzt ein Erfolg tiefes Verständnis des Systems voraus und hängt von Umgebung, Konfiguration und weiteren Schutzmaßnahmen ab.[1]
Offen bleibt, wie der Angriff über das Netz ankommt. Microsoft beschreibt ein präpariertes Paket an einen betroffenen Dienst, ohne Anmeldung und ohne Zutun des Nutzers.[1] Paint ist allerdings ein Desktop-Programm und kein Netzwerkdienst, den Weg nennt der Eintrag nicht. Gemeldet hat die Sicherheitslücke ein anonymer Entdecker.[1] Solange der Angriffsweg ungeklärt bleibt, taugt die Wertung als Anhaltspunkt, mehr nicht.
Wie ernst ist die Lage wirklich?
Microsoft führt die Sicherheitslücke als nicht öffentlich bekannt und nicht ausgenutzt.[1] Die US-Behörde CISA bewertete sie am 13. Oktober so: keine Ausnutzung, nicht automatisierbar, technische Auswirkung vollständig.[2] Gelingt ein Angriff, wären die Folgen also groß, er lässt sich aber nicht massenhaft auslösen.
Paint fällt damit nicht zum ersten Mal auf. Am 8. September führte Microsoft mit CVE-2026-70586 einen Heap-Überlauf in Paint auf, 8,8 Punkte, als kritisch eingestuft und im regulären Windows-Update behoben.[4] Binnen fünf Wochen kam mit dem Oktober-Eintrag eine zweite Sicherheitslücke, diesmal über den Store. Zum Oktober-Patchday hat die Redaktion bereits die gemeldeten Windows-Lücken ausgewertet.
Die Versionsangaben passen nicht zusammen. Microsofts Hinweis nennt 11.2609.401.0 als behobenen Stand, der CVE-Eintrag führt Builds vor 11.2605.91.0 als betroffen.[1][2] Zur Sicherheit gilt die höhere Nummer.
Vom September-Eintrag bis zum heutigen Stand
Die Versionsgrenze im CVE-Eintrag (vor 11.2605.91.0) weicht von Microsofts Hinweis (11.2609.401.0) ab.
Auch ein Malprogramm gehört in die Patchliste. Angreifer fragen nicht, ob eine Software wichtig aussieht.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Version prüfen: Öffnen Sie im Microsoft Store die Bibliothek und kontrollieren Sie, ob Paint auf 11.2609.401.0 oder höher steht.
- Store-Updates zulassen: Ist der Store per Richtlinie gesperrt, kann das Update ausbleiben. Verteilen Sie es dann über Ihre Software-Verwaltung.
- Paint entfernen: Auf Arbeitsplätzen und Servern ohne Bedarf prüfen Sie, ob sich die App über die Windows-Einstellungen deinstallieren lässt.
- Windows-Updates einspielen: Microsoft beschreibt den Angriffsweg nicht, deshalb schützt nur ein aktueller Gesamtstand.
Betriebe, die unter das NIS2-Umsetzungsgesetz fallen, müssen seit dem 6. Dezember 2025 Risikomanagementmaßnahmen nach § 30 BSIG umsetzen. Ein dokumentierter Patchstand auch für kleine Apps gehört dazu. Grundlagen und aktuelle Fälle bündelt unsere Cybersecurity-Rubrik. Für die schnelle Wiederherstellung von Rechnern nach einem Vorfall finden Sie im Vergleich der Backup-Software passende Anbieter, und beim Endpoint-Schutz hilft der Antivirus-Vergleich.
FAQ: Schwere Sicherheitslücke in Microsoft Paint
Welche Version von Windows Paint ist sicher?
Microsoft nennt Paint 11.2609.401.0 als behobenen Stand. Der CVE-Eintrag führt Builds vor 11.2605.91.0 als betroffen. Orientieren Sie sich an der höheren Nummer und prüfen Sie die Version im Microsoft Store.
Muss ein Nutzer eine Datei öffnen, damit der Angriff gelingt?
Laut Microsoft nein. Die Beschreibung nennt weder Anmeldung noch Zutun des Nutzers. Die Komplexität des Angriffs bewertet Microsoft aber als hoch, ein Erfolg ist nicht garantiert.
Wird die Sicherheitslücke schon ausgenutzt?
Microsoft führt sie als nicht ausgenutzt und nicht öffentlich bekannt, die Ausnutzung gilt als weniger wahrscheinlich. Stand ist der 6. November 2026.
Wie erhalte ich das Update für Paint?
Paint wird über den Microsoft Store aktualisiert. Öffnen Sie dort die Bibliothek und suchen Sie nach Updates. In Unternehmen mit gesperrtem Store verteilt die Software-Verwaltung das Paket.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Microsoft Security Response CenterWindows Paint Remote Code Execution Vulnerability, CVE-2026-83844, veröffentlicht am 13. Oktober 2026
- CVE-ProgrammCVE-2026-83844 mit CISA-Bewertung (Vulnrichment); NVD: Eintrag zu CVE-2026-83844, abgerufen am 6. November 2026
- MITRECWE-125, Out-of-bounds Read
- Microsoft Security Response CenterWindows Paint Remote Code Execution Vulnerability, CVE-2026-70586, veröffentlicht am 8. September 2026
Mehr Newshunger?
- Schwere TeamViewer-Sicherheitslücke: Ein präparierter Rechner kann den PC des Technikers übernehmen
- 23 Windows-Lücken im Oktober-Update, gefunden mit Zhipus KI-Modell GLM
- 570 Sicherheitslücken an einem Tag: KI treibt Microsofts Patchday auf Rekordniveau
- 7-Zip: Ein Archiv genügt für die Codeausführung
- Sechs Jahre alter Bug knackt Windows 11 SYSTEM
