Microsoft confirmó hace unos días un fallo de seguridad en Paint, la aplicación de dibujo de Windows 11, que permite ejecutar código de forma remota sin que la víctima haga clic en nada. La compañía asegura haber publicado ya el parche en la Microsoft Store, pero varios usuarios y administradores de sistemas comprueban que la actualización corregida no aparece, ni siquiera con las actualizaciones automáticas activadas.
La vulnerabilidad está registrada como CVE-2026-83844 y Microsoft le asigna una puntuación de severidad de 8,1 sobre 10, clasificada como Important, un nivel por debajo de Critical. Se trata de un fallo de lectura fuera de los límites de memoria (out-of-bounds read): el código de Paint accede a zonas de memoria que no debería, lo que en determinadas circunstancias permitiría a un atacante ejecutar su propio código en el equipo afectado.
Paint corrige el fallo pero no llega a la Microsoft Store
Microsoft indica en su boletín de seguridad que el parche llegó el mismo 13 de octubre a través de la Microsoft Store. Según ese documento, cualquier instalación de Paint con la versión 11.2609.401.0 o posterior queda protegida frente al fallo; las versiones anteriores siguen expuestas.
La compañía no ha explicado si ese número corresponde realmente a un paquete ya publicado o si hay un error en su propia documentación. En los casos que han trascendido estos días, la versión detectada en los equipos revisados ha sido la 11.2603.251.0, muy por debajo de la cifra que Microsoft documenta como corregida, pese a tener activadas las actualizaciones automáticas de la tienda.
Según se ha detallado ahora, ni los equipos con actualizaciones automáticas activadas ni quienes buscan manualmente la actualización en la Microsoft Store encuentran la versión corregida de Paint. Tampoco aparece ninguna actualización disponible al recurrir a herramientas de terceros para descargar directamente el paquete MSIX de la aplicación.
Administradores de sistemas lo confirmaron en un hilo de Reddit, donde coinciden en no ver rastro del parche pese a haber revisado sus consolas de gestión de equipos. La falta de respuesta oficial sobre el origen del desfase complica a usuarios domésticos y a departamentos de TI, que necesitan comprobar manualmente el estado de cada equipo.
Cómo comprobar qué versión de Paint tenéis instalada
El método más directo pasa por abrir Windows PowerShell, donde podéis ejecutar el comando Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version, que devuelve el número exacto de la compilación instalada en el equipo.
Si el resultado es 11.2609.401.0 o superior, la aplicación ya está protegida según la documentación de Microsoft; cualquier cifra inferior indica que seguís expuestos al fallo. También podéis consultar ese mismo dato desde los propios ajustes de Paint, en el apartado dedicado a la información de la versión.
Conviene repetir esta comprobación de vez en cuando mientras Microsoft no aclare el origen del problema, sobre todo en equipos de empresa, donde el antivirus puede generar alertas automáticas si detecta que la versión instalada no coincide con la publicada como segura. Si al buscar manualmente en la tienda no aparece ninguna actualización disponible, no es un fallo vuestro: es el mismo comportamiento que han reportado otros usuarios y administradores estos días.
Así se explota esta vulnerabilidad de Paint en Windows
Pese a la puntuación de 8,1 sobre 10, Microsoft matiza que el fallo es difícil de aprovechar en la práctica y no hay constancia de ataques registrados hasta la fecha. La compañía explica cómo podría desencadenarse el problema: «Un atacante no autenticado podría aprovechar esta vulnerabilidad enviando un paquete especialmente manipulado a un servicio afectado a través de la red». Esa dificultad de explotación es coherente con la calificación de Important que le asigna Microsoft, un peldaño por debajo de Critical.
Esa complejidad técnica reduce el riesgo inmediato para la mayoría de usuarios domésticos, aunque no elimina la necesidad de aplicar el parche en cuanto esté disponible. Algunos antivirus orientados a entornos corporativos ya marcan Paint como vulnerable en sus paneles si detectan que la versión instalada no coincide con la 11.2609.401.0, lo que genera alertas en los equipos de TI que gestionan esos sistemas, sin que existan registros públicos de explotación activa más allá del boletín de Microsoft.
La actualización de octubre no corrige el fallo y qué hacer
La actualización acumulativa de octubre de 2026 corrigió más de 1.000 problemas de seguridad en el núcleo de Windows 11, pero no tocó Paint. La aplicación se distribuye y actualiza de forma independiente a través de la Microsoft Store, no mediante Windows Update.
Por eso, tener el sistema operativo completamente al día no garantiza que la app de dibujo haya recibido el parche correspondiente: son dos canales de actualización distintos que conviven en el mismo equipo, y uno puede quedarse atrás sin que el usuario lo note. Esta separación entre el núcleo del sistema y las aplicaciones integradas en la Store es habitual en Windows 11, y explica por qué resulta recomendable revisar ambos frentes por separado cuando Microsoft publica un aviso de seguridad como este.
Mientras Microsoft no explique el motivo del desfase entre su documentación y lo que ven los usuarios, hay varias medidas que ayudan a reducir el riesgo sin depender de que la tienda publique la versión correcta:
- Comprobar la versión instalada con el comando de PowerShell indicado o desde los ajustes de la aplicación.
- Buscar manualmente actualizaciones en la Microsoft Store e instalar cualquier versión disponible, aunque su número sea inferior al documentado por Microsoft.
- En entornos corporativos, registrar las alertas del antivirus como posible consecuencia de la falta de despliegue real del parche, no como un fallo del propio software de seguridad.
El boletín de Microsoft sigue marcando la versión 11.2609.401.0 como requisito mínimo sin mencionar el fallo de distribución, y la compañía no ha fijado todavía una fecha para corregir el despliegue en la Store.