Paint no Windows: como comprovar a atualização da Microsoft Store
Uma estação em dia no Windows Update ainda pode ter uma cópia antiga do Paint. A CVE-2026-83844 ajuda a definir o que coletar para verificar a correção em toda a frota.
Read in EnglishPor Pentesty
Defina o critério de aceite antes de medir a cobertura
A notícia de 6 de novembro trata da disponibilidade da correção para uma vulnerabilidade divulgada pela Microsoft em 13 de outubro de 2026. A Microsoft classifica a falha de leitura fora dos limites como importante e atribui CVSS 8,1. O boletim descreve a possibilidade de execução de código ao enviar um pacote especialmente construído a um serviço afetado. Ele não informa o nome do serviço nem a porta.
Na consulta editorial de 6 de novembro, o boletim técnico indicava 11.2609.401.0 como compilação corrigida, enquanto o registro CVE publicado pela Microsoft marcava como afetadas as versões a partir de 11.0.0.0 e anteriores a 11.2605.91.0. Use o número do boletim como critério conservador para aceitar a implantação. Se uma versão intermediária passar no scanner, registre a divergência e peça confirmação ao fornecedor antes de fechar a ocorrência. Guarde a data e as versões das duas referências para revisar a regra se elas mudarem.
Separe instalação de provisionamento
Monte a lista inicial a partir das estações Windows gerenciadas. Identifique o pacote do Paint, a versão e o contexto em que ele aparece. Use Get-AppxPackage -AllUsers -Name Microsoft.Paint com privilégios administrativos para examinar registros de instalação. Em uma coleta separada, consulte Get-AppxProvisionedPackage -Online para a imagem em execução. Essa segunda consulta mostra o que está preparado para novos usuários. Uma versão obtida de um único perfil pode deixar registros antigos fora da amostra.
Teste a coleta em máquinas de perfis diferentes, incluindo uma estação compartilhada e uma imagem usada para preparar novas estações, se fizerem parte do ambiente. Para uma imagem montada, indique o caminho com -Path. Valide a identidade do pacote para evitar confundi-lo com outro aplicativo. Registre aparelhos fora de rede e consultas que falharam como pendentes de evidência. A equipe deve conseguir distinguir ausência confirmada de inventário incompleto.
Teste a entrega pela Store em cada grupo de política
O boletim identifica a atualização como um pacote da Microsoft Store. Um relatório de conformidade do Windows Update, por si só, não confirma a versão desse aplicativo. Na documentação do Intune, a política que bloqueia a interface da Store e a política que desativa atualizações automáticas de apps têm efeitos diferentes. Confira também acesso ao conteúdo e contexto de instalação antes de alterar a política de uma frota.
O catálogo dos Estados Unidos apresentou a versão indicada pelo boletim na consulta de 6 de novembro. Isso comprova uma oferta naquele catálogo. No piloto, compare essa referência com o pacote que cada máquina recebeu. Quando houver duas versões no mesmo dispositivo, identifique os perfis a que pertencem e repita a coleta após a distribuição.
Faça um piloto em cada grupo representativo. Use o canal gerenciado aprovado pela empresa, repita as duas consultas e confirme o resultado após entrar com um perfil de teste onde houver provisionamento. Se houver máquinas sem acesso ao canal, abra uma exceção com responsável e prazo. Uma eventual remoção precisa de teste próprio, aprovação operacional e verificação da instalação e do provisionamento.
Feche o chamado com evidências por dispositivo
Anexe identificador do dispositivo, data da coleta, origem do pacote, versões observadas, grupo de política e resultado da nova leitura. Separe as estações que atendem ao critério das que ainda aguardam conexão ou apresentam versões divergentes. Informe a cobertura sobre o total de dispositivos no escopo e mantenha os casos sem resposta visíveis. A mesma distinção entre pacote entregue e componente efetivamente verificado aparece na validação de atualizações do kernel Linux.
Perguntas frequentes
Posso usar o status do Windows Update como evidência?
Use esse status para acompanhar o sistema operacional. Para o Paint, colete a identidade e a versão do pacote instalado e examine o provisionamento quando aplicável.
O que fazer se o scanner aceitar uma versão intermediária?
Preserve a saída, compare a regra com o boletim da Microsoft e mantenha o caso aberto até comprovar a compilação corrigida ou receber uma confirmação aplicável.
Bloquear a interface da Store impede a correção?
Depende das políticas efetivas e da conectividade. A Microsoft documenta separadamente o acesso à interface e a atualização automática de aplicativos.
Como lidar com uma estação que não respondeu?
Registre a última coleta, atribua um responsável e programe nova consulta. Enquanto faltar evidência, mantenha o dispositivo fora da contagem de correções verificadas.
Fontes e referências
- Cyber Security Brazil: referência editorial da notícia
- Microsoft Security Response Center, CVE-2026-83844
- Microsoft, boletim técnico de outubro de 2026
- Programa CVE, registro publicado pela Microsoft
- Microsoft Store, ficha oficial do Paint
- Microsoft Learn, política e distribuição de aplicativos da Store
- Microsoft Learn, inventário de pacotes instalados por usuário
- Microsoft Learn, inventário de pacotes provisionados
Análise original da Pentesty, publicada em 6 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.