Tambalan keamanan guna mengatasi CVE-2026-83844, celah eksekusi kode jarak jauh di Windows Paint, kini sudah tersedia di Microsoft Store. Aplikasi Paint menerima pembaruan perbaikan ini khusus melalui platform Store, bukan lewat mekanisme Windows Update.
Versi teranyar yang membawa perbaikan tersebut adalah build 11.2609.401.0, yang tercatat sebagai versi Paint paling baru di sepuluh negara saat dipantau The Hacker News hari ini.
Kerentanan bersangkutan merupakan masalah pembacaan di luar batas memori yang berpotensi memberi jalan bagi pelaku peretasan untuk menjalankan instruksi kode melalui jaringan. Microsoft menggolongkan isu ini dalam tingkat risiko Important, membawa skor CVSS bernilai 8.1, serta menjelaskan bahwa keberhasilan eksploitasi membutuhkan pemahaman mendalam tentang sistem yang disasar. Kelemahan ini dipastikan belum diketahui dieksploitasi ataupun diungkap ke ranah umum sewaktu perusahaan merilis laporannya pada 13 Oktober.
Brian Vitko dari RFF, sebuah entitas pengembang perangkat lunak manajemen perangkat, sempat meneliti versi Paint yang disalurkan Store pada enam negara di awal pekan ini. Dirinya mendapati build teranyar pada seluruh wilayah itu masih berupa 11.2605.81.0, yang nyatanya belum menyertakan perbaikan.
Mesin virtual pengujian kepunyaannya sesudah itu beralih otomatis ke versi aman melalui fitur pembaruan otomatis Store. Itu terjadi pada satu komputer, dan seberapa kilat perangkat lain akan memperoleh build tersebut hingga kini belum dapat dipastikan.
Versi Build Mana yang Dianggap Aman
Pemberitahuan keamanan dari Microsoft menyebutkan secara resmi bahwa build 11.2609.401.0 merupakan edisi yang telah diperbaiki. Walau demikian, catatan CVE untuk kerentanan tersebut, yang juga diterbitkan pihak perusahaan, masih mencatat Paint terdampak hanya pada versi di bawah 11.2605.91.0. Entri NVD terkait turut memperlihatkan rentang versi yang serupa.
Oleh sebab itu, pemindai keamanan yang berpatokan pada catatan CVE akan menilai build apa saja dari 11.2605.91.0 ke atas sebagai versi yang aman. Salinan program dengan versi 11.2609.401.0 atau lebih tinggi otomatis lolos penilaian di bawah kedua acuan nomor tersebut.
Bahkan baru pada pekan kemarin, panduan mitigasi sempat memaparkan 11.2605.91.0 sebagai build aman, merujuk sebuah pertanyaan forum pada laman Microsoft Q&A. Catatan revisi panduan tersebut nyatanya masih cuma menunjukkan entri tanggal 13 Oktober, tanpa menyertakan keterangan mengenai pergeseran angka itu.
Cara Memeriksa Setiap Salinan Paint
Paint, serupa dengan aplikasi Store lainnya, terpasang secara mandiri untuk masing-masing akun pengguna di satu komputer. Sistem operasi Windows pun bisa menyimpan salinan terkonfigurasi awal yang akan dipasang otomatis pada tiap pengguna baru. Pemeriksaan yang sekadar menyasar akun aktif berisiko melewatkan salinan Paint lama.
Laporan pengujian Vitko menyuguhkan dua baris instruksi untuk dijalankan pada jendela PowerShell yang dibuka dengan hak administrator. Instruksi perdana merinci salinan Paint milik tiap pemakai, dan instruksi kedua mendata salinan bawaan sistem.
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = ‘Users’; e = { $_.PackageUserInformation.UserSecurityId.Username -join ‘, ‘ } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq ‘Microsoft.Paint’ | Select-Object Version
Bagi setiap salinan aplikasi yang terpasang di bawah nomor build 11.2609.401.0:
Pemberitahuan keamanan tidak memuat solusi alternatif maupun mitigasi sementara. Sebelum perbaikan hadir di Store, Vitko pernah mengusulkan pencopotan aplikasi Paint jika memang tidak diperlukan, baik dari seluruh akun pemakai maupun dari arsip paket bawaan sistem. Ia sendiri belum menguji tindakan tersebut.
Kondisi Serangan dan Status Eksploitasi
Peretas dapat memanfaatkan celah ini dengan mengirimkan "paket data khusus ke layanan yang rentan melalui jaringan," ungkap dokumen panduan tersebut, meskipun tidak merinci nama layanannya. Penyerangan sama sekali tidak memerlukan proses masuk log ataupun interaksi pengguna sasaran.
Kerentanan ini dipastikan belum tercantum dalam katalog Known Exploited Vulnerabilities milik Badan Keamanan Siber dan Infrastruktur AS ketika The Hacker News melakukan peninjauan hari ini. Basis data tersebut terakhir kali diperbarui pada awal pekan ini.