Windows付属のペイント（Windows Paint）に、リモートコード実行の脆弱性CVE-2026-83844が存在することが判明しました。細工されたパケットをネットワーク経由で送信されることで、サインインやユーザー操作なしに攻撃を受けるおそれがあります。この修正パッチは通常のWindows Updateでは配信されず、Microsoft Store経由でのみ適用されるため、情シス担当者による各端末のバージョン確認と更新対応が求められます。
The Hacker News：Microsoft Paint RCE Fix Now Available, but Windows Update Won't Deliver It
社内PCに導入されたストアアプリやOSコンポーネントのパッチ適用漏れが気になる場合は、CyberCrewの脆弱性診断サービスをご検討ください。
この記事のポイント
影響のあるシステム
- Microsoft security advisory基準：バージョン11.2609.401.0未満のWindows Paint
- CVEレコードおよびNVD基準：バージョン11.2605.91.0未満のWindows Paint
推奨される対策
- PowerShellでGet-AppxPackageおよびGet-AppxProvisionedPackageを実行し、全ユーザーおよびプロビジョニング済みのWindows Paintが11.2609.401.0以上か確認する
- 11.2609.401.0未満の場合はMicrosoft Storeからペイントを手動更新するか、Intune等の管理ツールでストアアプリ更新スキャンを実行する
この記事に出てくる専門用語
- CVE-2026-83844：Windows Paintに存在する、細工されたパケットによってリモートから任意のコードを実行される可能性がある脆弱性の識別番号です。
- 境界外読み取り（Out-of-bounds Read）：プログラムが割り当てられたメモリ領域の外側を読み出してしまうバグです。今回の脆弱性ではこの不具合が悪用され、リモートコード実行につながるおそれがあります。
- プロビジョニング済みパッケージ（Provisioned Package）：Windowsに新しいユーザーアカウントが作成された際に自動的にインストールされるアプリのマスターコピーです。ユーザーごとのアプリとは別に保持されます。
Windows Paintのリモートコード実行脆弱性の詳細
The Hacker Newsの報道によると、マイクロソフトはWindows Paintに存在するリモートコード実行の脆弱性CVE-2026-83844に対する修正を公開しました。本脆弱性は境界外読み取りの不具合に起因しており、マイクロソフトによる評価はImportant、CVSSスコアは8.1とされています。
攻撃者はネットワーク経由で影響を受けるサービスに対して細工されたパケットを送信することで、対象端末上でのコード実行を試みます。攻撃の成立には対象システムに対する深い理解が必要とされるものの、ユーザーのサインインやクリックなどの操作を一切必要としない点が特徴です。
マイクロソフトが本件を公表した10月13日の時点で、悪用事例や事前公表は確認されていません。また、米CISAのKEVカタログにも登録されていませんが、認証不要で到達可能な攻撃経路が存在する場合のリスクは決して小さくありません。
修正パッチがWindows Updateから配信されない仕組み
本脆弱性に対する修正パッチは、OS標準のWindows Updateでは配布されません。Windows Paintは現在Microsoft Storeアプリとして提供されているため、更新はMicrosoft Storeの仕組みを通じてのみ行われます。
公式のワークアラウンドや緩和策は用意されていません。デバイス管理ソフトウェアメーカーRFFのBrian Vitko氏による調査では、ストアの自動更新によって修正版へ移行した検証機が確認されたものの、組織内のすべての端末にどの程度の速さで配信されるかは保証されていません。
私たち診断員の視点でも、Windows Updateの適用状況だけを監視してストアアプリの更新状態を見落としている組織は珍しくありません。情シス担当者が明示的に端末側の適用状況を把握する運用が必要です。
修正済みビルド番号に関する公式情報の食い違い
修正済みと判定されるバージョン情報には、マイクロソフトの公開資料間で食い違いが生じています。マイクロソフトのセキュリティアドバイザリでは修正版ビルドとして11.2609.401.0を指定していますが、同社が発行するCVEレコードやNVDの登録情報では11.2605.91.0未満が影響を受けると記載されています。
脆弱性スキャナーがCVEレコードのみを参照している場合、11.2605.91.0以上のバージョンであれば修正済みと誤判定してしまう可能性があります。確実に対処を完了させるためには、アドバイザリが示す11.2609.401.0以降が導入されているかを確認基準に据える必要があります。
アドバイザリの改訂履歴にはバージョン変更に関する注記が残されておらず、基準のブレが生じやすい状況です。確実な防御を行うためにも、両方の基準を満たす11.2609.401.0以上へのアップデートを完了させます。
組織内の端末でWindows Paintのバージョンを確認する手順
Windows Paintは端末内のユーザーアカウントごとに個別にインストールされるほか、新規ユーザー向けのプロビジョニング済みコピーも保持されます。サインイン中のアカウントだけを調査しても、端末内に残る古いコピーを見落とす危険があります。
管理者権限でPowerShellを開き、以下の2つのコマンドを実行して全ユーザーおよびプロビジョニング済みのコピーを調査します。
- Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
- Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
表示されたバージョンが11.2609.401.0未満の場合は、Microsoft Storeから更新を行うか、Intuneなどのデバイス管理ツールからストアアプリの更新スキャンを実行します。更新後に再度同じコマンドを実行し、すべてのコピーが11.2609.401.0以降になっていることを確認します。
参考文献・記事一覧
Windows Updateの対象外となるストアアプリも含め、組織内の端末に潜む脆弱性を網羅的に可視化したい場合は、CyberCrewまでお気軽にご相談ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
