Présentée début novembre comme une faille « zéro clic » exploitable à distance, la vulnérabilité CVE-2026-83844 de Paint a été requalifiée par Microsoft le 7 novembre : score CVSS ramené de 8,1 à 7,0, vecteur local, interaction de l’utilisateur requise. Le correctif, lui, ne passe toujours pas par Windows Update. Pour les administrateurs, l’enjeu reste entier : retrouver toutes les copies de Paint sur le parc et les mettre à jour.

Une faille d’octobre, un correctif introuvable pendant trois semaines

Microsoft a publié l’avis CVE-2026-83844 le 13 octobre 2026, avec le Patch Tuesday d’octobre. Intitulée « Windows Paint Remote Code Execution Vulnerability », elle repose sur une lecture hors limites (out-of-bounds read) dans l’éditeur d’images de Windows. Sévérité : « Important ». Microsoft précise qu’elle n’était ni exploitée ni divulguée publiquement, et la juge d’exploitation « moins probable ».

Le problème est apparu dans la livraison du correctif. L’avis initial citait une version corrigée 11.2605.91.0. Sur le forum Microsoft Q&A, un administrateur signalait le 30 octobre que cette version était introuvable dans le Microsoft Store, où la plus récente restait la 11.2605.81.0. Plus de quarante internautes ont indiqué avoir la même question. Brian Vitko, de l’éditeur RFF, a fait le même constat le 5 novembre dans six pays (États-Unis, Royaume-Uni, Allemagne, Australie, Inde, Singapour). Chez Windows Latest, le rédacteur Mayank Parmar observait qu’un PC aux mises à jour automatiques actives tournait encore en 11.2603.251.0, sans mise à jour proposée.

Le 6 novembre, Microsoft a publié une révision 2 de l’avis : la version 11.2609.401.0 est désormais la version corrigée de référence, et l’éditeur recommande de l’installer ou de vérifier qu’elle l’a été automatiquement. Le même jour, RFF et The Hacker News confirmaient sa disponibilité dans le Store, dans les dix pays testés.

« Zéro clic » : une qualification qui ne tient plus

Les premiers articles, de Windows Latest (5 novembre) à Clubic (7 novembre) en passant par The Hacker News (6 novembre), ont relayé le score CVSS de 8,1 et une exploitation possible via le réseau, sans authentification ni clic de l’utilisateur. L’avis évoquait alors l’envoi d’un « paquet spécialement conçu à un service affecté, via le réseau ». Brian Vitko relevait déjà que cette description était étrange pour un éditeur d’images.

Le 7 novembre, la révision 2.1 de l’avis a changé la donne. Microsoft y indique avoir « ajouté une FAQ et mis à jour le score CVSS », en précisant qu’il s’agit d’un changement informatif. Le score de base passe à 7,0 (6,1 en score temporel), avec le vecteur CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H. Autrement dit : attaque locale, complexité élevée, aucun privilège requis, mais interaction de l’utilisateur nécessaire.

La nouvelle FAQ explique que le terme « Remote » du titre désigne la position de l’attaquant, pas le vecteur. Le scénario type relève de l’ingénierie sociale : convaincre une victime de télécharger puis d’ouvrir un fichier piégé. Une autre FAQ rappelle que l’exploitation exige une connaissance approfondie du système ciblé. À noter : les données publiées par Microsoft contiennent encore deux descriptions contradictoires, l’une évoquant une exécution de code « locale », l’autre « via le réseau ».

Pour les équipes sécurité, la conséquence est double. Le risque immédiat est plus faible qu’annoncé, puisqu’il n’y a plus de scénario « zéro clic ». Mais un fichier image piégé reste un vecteur classique de campagne de hameçonnage, et l’impact en confidentialité, intégrité et disponibilité est toujours noté « élevé ».

Windows Update ne vous protégera pas

Le vrai sujet pour les administrateurs reste la distribution. Selon les données de Microsoft, le correctif prend la forme d’une mise à jour de l’application Store (« Store App »), sans numéro de KB, avec la mention « action client requise » et un redémarrage « éventuellement » nécessaire. Il n’est pas distribué par Windows Update. Les outils de gestion de correctifs centrés sur les mises à jour cumulatives de Windows ne le verront donc pas.

La difficulté se double d’un piège d’architecture. Comme l’ont souligné RFF, The Hacker News et Clubic, Paint est installé séparément pour chaque compte utilisateur, et Windows conserve une copie « provisionnée » utilisée pour les nouveaux profils. Mettre à jour Paint pour un utilisateur ne protège donc ni les autres comptes de la machine, ni les futurs profils.

Deux commandes PowerShell en lecture seule, lancées en administrateur, permettent de faire l’inventaire. La première liste les versions installées pour tous les utilisateurs :

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Name, Version

La seconde vérifie la copie provisionnée :

Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq ‘Microsoft.Paint’ | Select-Object DisplayName, Version

Toute version inférieure à 11.2609.401.0 doit être mise à jour. Sur un poste isolé, on vérifie la version dans les paramètres de Paint, puis on passe par Store, Bibliothèque et « Obtenir les mises à jour », pour chaque compte. Sur un parc, Clubic suggère de piloter l’opération avec Intune. Brian Vitko évoque aussi la suppression de Paint là où il n’est pas utilisé, une option qu’il précise ne pas avoir testée.

Gare aux faux positifs des scanners

Dernier point de vigilance : la cohérence des bases de vulnérabilités. Au moment des articles de The Hacker News et de Clubic, l’enregistrement CVE et la NVD considéraient Paint comme vulnérable uniquement sous la version 11.2605.91.0. Un scanner s’appuyant sur ces données pouvait donc signaler comme vulnérable un poste en 11.2605.91.0, alors que Microsoft exige la 11.2609.401.0. Selon RFF, l’enregistrement CVE a été mis à jour le 7 novembre, tandis que la NVD était encore « en cours d’analyse » le 8 novembre, sans configuration de versions affectées. Mieux vaut donc vérifier la version de référence dans l’avis de Microsoft plutôt que de se fier uniquement à son outil de scan. Au 6 novembre, d’après The Hacker News, la faille ne figurait pas au catalogue KEV de la CISA.

Conclusion

CVE-2026-83844 n’est finalement pas la faille « zéro clic » redoutée, et Microsoft l’a reconnu en revoyant son score. Mais l’épisode révèle un angle mort durable : les applications Windows distribuées par le Store, installées profil par profil, échappent aux circuits classiques de gestion des correctifs. Pour les équipes IT, c’est le moment d’intégrer ces applications à l’inventaire et à la conformité, avant qu’une prochaine faille, plus sérieuse, ne passe par le même chemin.