Solusi perbaikan bagi celah CVE-2026-83844, sebuah kerentanan eksekusi kode jarak jauh di Windows Paint, sekarang telah tersedia di Microsoft Store. Aplikasi Paint menerima pembaruan ini secara eksklusif lewat platform Store, bukan melalui mekanisme Windows Update standar.
Versi teranyar yang membawa perbaikan tersebut, yakni versi 11.2609.401.0, telah terpantau menjadi rilis paling segar di sepuluh negara berbeda yang diperiksa langsung oleh The Hacker News hari ini.
Masalah keamanan ini berakar pada pembacaan di luar batas memori yang berpotensi membiarkan pelaku kejahatan siber menjalankan instruksi kode berbahaya melintasi jaringan. Microsoft menilai tingkat keparahannya pada status Important dengan skor CVSS 8.1, sembari menambahkan bahwa keberhasilan serangan semacam ini menuntut pengetahuan mendalam seputar sistem target. Ketika perusahaan merilis laporannya pada 13 Oktober, celah ini tercatat belum dieksploitasi maupun diungkapkan ke ranah umum.
Brian Vitko, perwakilan dari pengembang perangkat lunak manajemen perangkat RFF, sempat memeriksa ketersediaan varian Paint pada katalog Store di enam negara pada awal pekan ini. Hasil temuannya memperlihatkan bahwa rilis paling baru di seluruh wilayah tersebut masih bertengger pada versi 11.2605.81.0, yang notabene belum memuat perbaikan keamanan.
Meski demikian, mesin virtual pengujian miliknya belakangan sukses beralih ke versi aman secara mandiri berkat fitur pembaruan otomatis bawaan Store. Namun, kondisi ini baru terbukti pada satu perangkat, sehingga tempo distribusi pembaruan ke komputer lain masih belum dapat dipastikan.
Menentukan Versi Aplikasi yang Benar-Benar Aman
Petunjuk keamanan dari Microsoft menegaskan bahwa versi 11.2609.401.0 merupakan rilis yang terbebas dari bug. Di sisi lain, catatan resmi CVE untuk kerentanan ini, yang diterbitkan oleh institusi yang sama, masih menyatakan Paint terdampak hanya pada versi di bawah 11.2605.91.0. Basis data pada NVD juga menampilkan kisaran data serupa.
Situasi tersebut membuat perkakas pemindai keamanan yang berpatokan pada data CVE akan menganggap seluruh instalasi bernomor 11.2605.91.0 ke atas telah terlindungi. Sementara itu, build 11.2609.401.0 atau yang lebih anyar dipastikan lolos verifikasi di bawah kedua parameter tersebut.
Merujuk pada utas pertanyaan di forum Microsoft Q&A, hingga pekan lalu panduan resmi perusahaan masih mencantumkan versi 11.2605.91.0 sebagai batas aman. Menariknya, log revisi panduan tersebut tetap hanya memuat riwayat tertanggal 13 Oktober tanpa penjelasan mengenai pembaruan data angka versi ini.
Metode Memeriksa Setiap Salinan Paint pada Sistem
Mirip dengan kebanyakan program bawaan Store, Paint terpasang secara mandiri untuk masing-masing profil pengguna pada sebuah PC. Windows pun menyimpan master paket yang disiapkan otomatis untuk setiap profil baru. Memeriksa akun aktif semata berisiko melewatkan keberadaan instalasi lama pada profil lain.
Laporan pengujian milik Vitko menyodorkan dua baris instruksi PowerShell dengan hak administrator untuk melacaknya. Perintah pertama memetakan seluruh salinan Paint milik pengguna, dan perintah berikutnya menampilkan master paket sistem.
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version
Bila mendapati versi di bawah 11.2609.401.0:
Panduan keamanan tidak memberikan solusi alternatif sementara. Sebelum paket tambalan tiba di Store, Vitko sempat menyarankan pencopotan instalasi Paint sepenuhnya dari setiap akun dan master sistem jika tidak terpakai, meski opsi tersebut belum ia uji langsung.
Ketentuan Serangan serta Perkembangan Status Eksploitasi
Peretas dapat memanfaatkan kelemahan ini dengan mengirimkan "paket khusus yang dirancang ke layanan terdampak melalui jaringan," tulis pedoman resmi tanpa menyebut nama layanan secara spesifik. Operasi serangan tidak menuntut proses masuk sistem atau interaksi korban.
Celah ini belum terdaftar pada katalog Kerentanan yang Dieksploitasi Resmi milik Badan Keamanan Siber dan Infrastruktur AS saat dicek The Hacker News hari ini, yang pembaruannya tercatat awal pekan ini.
