- Microsoftが、細工した画像ファイルを通じてリモートでコードを実行される恐れのある、重大度「高」のペイントの脆弱性を修正
- セキュリティ更新はMicrosoft Store経由で配信されるため、一部のユーザーは一時的に脆弱なバージョンのままになる状況
- ユーザーはペイントのバージョンを確認し、最新の更新が提供され次第、速やかにインストールすることが必要
Microsoftは、攻撃者が悪意のあるコードをリモートで実行できる、重大度「高」のペイント（Paint）の脆弱性を修正しました。ただし、ユーザーにとって対処は簡単ではないようです。意外なことに、修正版が一部のユーザーにはいまだ提供されていません。
この脆弱性は「CVE-2026-83844」として追跡されており、深刻度スコアは10点満点中8.1（高）です。米国国家脆弱性データベース（NVD）は、これを「Windowsペイントにおける境界外読み取りで、認証されていない攻撃者がネットワーク経由でコードを実行できる」と説明しています。
理論上は、攻撃者が特殊な画像を作成し、それをペイントで開かせることで脆弱性を突き、影響を受けるシステム上で悪意のあるコードを実行できる可能性があります。
ペイントを修正する方法
悪い知らせは、MicrosoftがペイントにAIを組み込んだことで、このアプリを介して悪意のあるパッケージが実行されるシナリオが、はるかに現実味を帯びてきたことです。一方、良い知らせもあります。Microsoftは、この種の攻撃をどう成立させるかを説明する技術的な詳細を公開していません。さらに、実環境での悪用が確認された事例も、公開されたエクスプロイトコードもないため、現時点ではすべて理論上の話にとどまっています。
米CISAの「既知の悪用された脆弱性（KEV）カタログ」にもこの脆弱性は掲載されていません。つまり、政府機関を含め、攻撃が確認された事例はないということです。
この脆弱性が理論上のままで済むかどうかは、2つの要素で決まります。脆弱性そのものの危険度と、悪用のしやすさです。この点で注目すべきは、Microsoftが攻撃ベクターを「ネットワーク、権限は不要」と分類していることです。つまり、すでに低権限のアクセスを得ている攻撃者が、この脆弱性を使って権限を昇格させたり、危険なマルウェアを展開したりできる可能性があります。いずれの場合も、認証情報の窃取、送金詐欺、さらにはランサムウェア攻撃につながる恐れがあります。
その一方で、Microsoftは攻撃の複雑さを「高」としており、悪用は容易ではないことがうかがえます。そのため、悪用できるのは国家支援型の攻撃者や、潤沢な資金とリソースを持つ営利目的のハッキング集団に限られる可能性があります。
また、MicrosoftはペイントをWindows本体から切り離し、単体のMicrosoft Storeアプリとして提供しています。そのため、セキュリティ修正は通常のWindows Updateでは配信されません。アプリの自動更新を有効にしていない限り、ユーザー自身がMicrosoft Storeからペイントを更新する必要があります。
Microsoftは、ペイントのバージョン11.2605.91.0に修正を含めたとみられます。しかしNeowinによると、Microsoftはより新しいバージョンを公開した後も、Storeで脆弱なバージョン11.2605.81.0を配信し続けていました。この問題は複数のユーザーが気づいており、Redditで議論が立ち上がるほどでした。あるユーザーは、Storeで更新を確認したにもかかわらず、ペイントが脆弱なバージョンのままであることを示すPowerShellの出力を共有しています。
ユーザーごとに異なるバージョン
本誌が公開時点でMicrosoft Storeのペイントを確認したところ、バージョン11.2609.401.0が提供されており、最新の更新日は11月5日でした。Neowinによると、一部のRedditユーザーにとっては、こちらが修正を含むバージョンだったということです。Microsoftが全ユーザーに一斉配信するのではなく、段階的にリリースしている可能性があり、それが修正版の提供が遅れたユーザーがいる理由かもしれません。
システムの安全を確保するには、Microsoft Storeを確認するだけでは不十分な場合があります。ユーザーは、次のPowerShellコマンドでペイントのバージョンを再確認してください。Get-AppxPackage Microsoft.Paint | Select-Object Name, Version。古いバージョンが表示される場合は、Microsoft Storeで修正版が提供されるのを注視し、この脆弱性に関するMicrosoftのセキュリティ更新プログラムガイドも確認しましょう。標的にされる懸念がある場合は、特定の画像添付ファイルを一時的に制限するか、システムからペイントを完全に削除する対策も考えられます。
