セキュリティ2026/11/07 12:40 UTC·2 分で読めます

Windows 11のPaintに脆弱性、CVE-2026-83844で遠隔コード実行の恐れ

Windows 11標準のPaintに、攻撃者が遠隔でコードを実行できる脆弱性が見つかった。修正版は公開済みだが、Microsoft Storeに表示されない例が報告されている。

The Paint app window open on a Windows 11 desktop, illustrating a remote code execution vulnerability. — 画像: 3DNews - Daily Digital Digest

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

giftdetect：数分でぴったりの贈り物

Windows 11のPaintアプリに、攻撃者がユーザー操作なしで遠隔から任意のコードを実行できる脆弱性が見つかった。識別番号は「CVE-2026-83844」で、深刻度は10点満点中8.1と評価されている。

Microsoftの説明によると、原因は割り当てられたメモリ領域の外を読み込む「境界外読み取り(out-of-bounds read)」だ。攻撃者は細工したネットワークパケットを脆弱なサービスに送るだけでよく、事前の認証は不要という。

Microsoftはこの問題を、最上位の「緊急(Critical)」より一段下の「重要(Important)」に分類した。また、悪用は難しいとしており、実際の攻撃は今のところ報告されていないとしている。

修正版が届かない問題

修正は10月13日にMicrosoft Store経由で公開された。ドキュメントによれば、バージョン11.2609.401.0以降のPaintで保護される。しかしWindows Latestの確認では、アプリの自動更新を有効にしていてもStoreが新バージョンを提示せず、インストールされていたのは11.2603.251.0だった。

同様の報告は他のユーザーからも出ており、サードパーティー製ツールでMSIXパッケージを取得しても更新できなかったという。原因は分かっていない。

PaintはStore経由で個別に更新されるため、通常のWindows 11の更新プログラムでは解決が保証されない。バージョンはWindows PowerShellで「Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version」を実行すると確認できる。番号が11.2609.401.0未満なら、Microsoftの文書上は脆弱な状態となる。