Microsoft Paint RCE Güvenlik Açığına Yönelik Düzeltme Yayınlandı, Ancak Windows Update Üzerinden Gelmiyor

Microsoft Paint RCE Güvenlik Açığına Yönelik Düzeltme Yayınlandı, Ancak Windows Update Üzerinden Gelmiyor

Windows Paint uygulamasındaki CVE-2026-83844 kodlu uzaktan kod yürütme (RCE) güvenlik açığı için bir düzeltme, şu anda Microsoft Store’da mevcut. Ancak bu düzeltme, Windows güncellemeleri aracılığıyla değil, yalnızca Store güncellemesiyle Paint’e ulaşıyor.

Düzeltilmiş yapı numarası 11.2609.401.0 olup, The Hacker News’in bugün kontrol ettiği on ülkenin tamamında en yeni Paint yapısı olarak görüldü.

Söz konusu güvenlik açığı, bir saldırganın ağ üzerinden kod çalıştırmasına olanak tanıyabilecek bir sınır dışı okuma (out-of-bounds read) hatasıdır. Microsoft, bu açığı ‘Önemli’ olarak derecelendirmiş ve CVSS puanını 8.1 olarak belirlemiştir. Şirket, başarılı bir saldırının hedef sistem hakkında derinlemesine bilgi gerektirdiğini belirtiyor. Açık, 13 Ekim’de yayınlandığında henüz istismar edildiği veya kamuya açıklandığı bilinmiyordu.

Cihaz yönetimi yazılımı üreticisi RFF’den Brian Vitko, bu hafta başında altı ülkede Store’un hangi Paint yapılarını sunduğunu kontrol etti. Her birinde en yeni sürümün, düzeltmeyi içermeyen 11.2605.81.0 olduğunu tespit etti.

Vitko’nun test sanal makinesi, o zamandan beri Store’un otomatik güncellemesi aracılığıyla kendiliğinden düzeltilmiş yapıya geçti. Bu durum tek bir makine için geçerli olup, diğer bilgisayarların bu yapıya ne kadar hızlı ulaşacağı henüz net değil.

Hangi Yapı Düzeltilmiş Sayılıyor?

Microsoft’un güvenlik danışmanlığı 11.2609.401.0 sürümünü düzeltilmiş yapı olarak belirtiyor. Ancak, şirketin yayınladığı güvenlik açığına ait CVE kaydı, Paint’in hala 11.2605.91.0 altındaki sürümlerde etkilendiğini listeliyor. NVD kaydı da aynı aralığı gösteriyor.

Bu nedenle, CVE kaydını okuyan bir tarayıcı, 11.2605.91.0 ve üzeri tüm yapıları düzeltilmiş olarak kabul edecektir. 11.2609.401.0 veya daha yeni bir sürüm, her iki numara altında da geçerli sayılır.

Geçen haftaya kadar, danışmanlık belgesi 11.2605.91.0 sürümünü düzeltilmiş yapı olarak gösteriyordu. Microsoft Q&A’deki bir forum sorusu da bunu doğrulamaktadır. Danışmanlığın revizyon geçmişi ise hala sadece 13 Ekim girişini gösteriyor ve değişiklik hakkında herhangi bir not bulunmuyor.

Her Paint Kopyasını Nasıl Kontrol Edebilirsiniz?

Paint, diğer Store uygulamaları gibi, bir bilgisayardaki her kullanıcı hesabı için ayrı ayrı yüklenir. Windows ayrıca, her yeni kullanıcı için yüklediği bir sağlanan kopyayı da tutabilir. Yalnızca oturum açmış hesabı kontrol etmek, eski kopyaları gözden kaçırmanıza neden olabilir.

Vitko’nun test yazısı, yönetici olarak açılan bir PowerShell penceresinde çalıştırılacak iki komut sunuyor. Birincisi, her kullanıcının Paint kopyasını listelerken, ikincisi sağlanan kopyayı listeler:

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

11.2609.401.0 altındaki herhangi bir kopya için:

1. Paint’i Store üzerinden güncelleyin veya Store’un otomatik güncellemesinin düzeltilmiş yapıyı yüklemesine izin verin. Intune ve diğer cihaz yönetimi araçlarında, Store uygulama güncelleme taraması bunu birçok bilgisayarda yapar.
2. Her iki komutu tekrar çalıştırın ve her kopyanın 11.2609.401.0 veya daha yeni bir sürümü gösterdiğini kontrol edin.

Danışmanlık belgesinde herhangi bir geçici çözüm veya hafifletme önerisi bulunmuyor. Düzeltme Store’a ulaşmadan önce Vitko, Paint’e ihtiyaç duyulmayan yerlerde, her kullanıcı için ve sağlanan kopyadan Paint’i kaldırmayı önermişti. Ancak bu adımı test etmedi.

Saldırı Koşulları ve İstismar Durumu

Danışmanlık belgesine göre, bir saldırgan “ağ üzerinden etkilenen bir hizmete özel olarak hazırlanmış bir paket göndererek” güvenlik açığını istismar edebilir, ancak hizmetin adını belirtmiyor. Saldırı, oturum açma veya kullanıcı yardımı gerektirmez.

The Hacker News’in bugün kontrol ettiğinde, güvenlik açığı ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından yürütülen Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyordu. Katalog en son bu hafta başında güncellenmişti.