Açıklıklar ve Tehditler
Geçen ay Microsoft, Microsoft Paint'te bir güvenlik açığı duyurdu ancak yama hakkındaki mesajlar net değildi.
Microsoft yakın zamanda Windows Paint'te uzaktan kod çalıştırma açığını kapattı, ancak sorunun nasıl düzeltileceği konusundaki ayrıntılar neredeyse bir ay boyunca belirsiz kaldı.
Duyuruya göre CVE-2026-83844 kodlu açık, Windows Paint'te sınır dışı okuma yapıyor ve yetkisiz bir saldırganın yerel olarak kod çalıştırmasına izin veriyor. Açık, yüksek önem derecesinde CVSS 3.1 puanı 7,0 taşıyor.
Duyuru savunma ekipleri için teknik ayrıntı sunmuyor. Microsoft'a göre RCE'ye ulaşmak yerel erişim gerektiriyor; yani saldırganın klavyenin başında olması ya da makineye doğrudan uzaktan bağlantı kurması gerekiyor. Bazı kullanıcı etkileşimi de şart; bu durum saldırının 9 ya da 10 CVSS ile ilişkilendirilen tipik RCE açıkları yerine "yalnızca" yüksek önemde kalmasını açıklayabilir. Microsoft bugüne kadar herhangi bir istismar bildirimi görmediğini belirtti; bu da istismarın daha az olası olduğunu gösteriyor.
Windows Paint için yama artık mevcut. Düzeltilen sürüm 11.2609.401.0 ve müşteriler bunu Paint > Ayarlar > Hakkında bölümünden görebilir.
Microsoft sözcüsü Dark Reading'e şu açıklamayı yaptı: "Paint için bir güvenlik güncellemesi Microsoft Store üzerinden mevcut. Otomatik Store güncellemeleri açık olan müşteriler zaten korunuyor. Müşterilerin en güncel sürümde olduklarını kontrol etmelerini ve korunmaya devam etmek için mevcut güncellemeleri yüklemelerini öneriyoruz." Müşteriler güncellemeyi Microsoft Store Uygulaması > İndirilenler > Güncellemeleri kontrol et yoluyla manuel olarak da uygulayabilir.
Windows Paint CVE'si için tuhaf bir zaman çizelgesi
CVE-2026-83844, yüksek önem derecesinde RCE yapabilen bir Paint açığı olmasının ötesinde birden fazla nedenden dolayı alışılmadık bir güvenlik açığı.
Cihaz yönetimi yazılımı sağlayıcısı RFF'nin kurucusu Brian Vitko'nun blog yazısında aktardığına göre Microsoft açığı 13 Ekim'de ilk kez duyurdu, ancak bildirilen düzeltmenin (11.2605.91.0) yayında olduğuna dair bir işaret 30 Ekim itibarıyla bile yoktu. 4 Kasım'a gelindiğinde güvenlik duyurusunda doğru düzeltilmiş sürüm (11.2609.401.0) listelenmişti ancak mağazada en güncel güncelleme 11.2605.81.0 idi. Doğru sürüm mağazaya 6 Kasım'da eklendi.
Vitko'nun yazısına göre duyuru SSS'sinin orijinal sürümü, saldırının "ağ üzerinden etkilenen bir hizmete özel olarak hazırlanmış bir paket gönderilerek" mümkün olabileceğini söylüyordu.
Ancak SSS'nin en güncel sürümünde şu ifade yer alıyor: "Örneğin, puan Saldırı Vektörünün Yerel ve Kullanıcı Etkileşiminin Gerekli olduğunu gösteriyorsa, bu, bir saldırganın sosyal mühendislik yoluyla bir kurbanı bir web sitesinden özel olarak hazırlanmış bir dosyayı indirmeye ve açmaya ikna etmesiyle sonuçlanan ve bilgisayarında yerel bir saldırıya yol açan bir istismarı tanımlayabilir."
Vitko, Dark Reading'e bu son açıklamanın Windows Paint'i hedef alan bir güvenlik açığı için beklentileriyle daha uyumlu olduğunu söyledi ve ifadenin güvenlik açığına doğrudan değinmekten ziyade standart Microsoft SSS dilinin sonucu olabileceğini belirtti.
"Paint ağda dinlemiyor. Yayınlandığında CVSS 8,1 ve ağ saldırı vektörüydü ve SSS 'ağ üzerinden etkilenen bir hizmete özel olarak hazırlanmış bir paket' diyordu. Microsoft bunu 7 Kasım'da değiştirdi: artık 7,0, yerel, kullanıcı etkileşimi gerekiyor ve SSS saldırganın 'bir kurbanı bir web sitesinden özel olarak hazırlanmış bir dosyayı indirmeye ve açmaya ikna etmesi' diyor," diye konuştu. "Bu bir görüntü düzenleyici için çok daha mantıklı. Microsoft gerçek tetikleyici hakkında daha fazla şey söylemedi."
Dark Reading, güncelleme zaman çizelgesiyle ilgili ek bilgi için Microsoft'a başvurdu.
