Un fallo de Paint en Windows 11 podría permitir a atacantes ejecutar código de forma remota
Arkadiy Andrienko
Microsoft divulgó una lectura fuera de límites en Paint el 13 de octubre de 2026 y afirma que podría permitir a un atacante ejecutar código en un PC a través de una red. Recibió una puntuación de gravedad de 8,1 sobre 10, pero Microsoft la clasificó como «Importante», no como «Crítica».
Microsoft afirma que el atacante no necesita autenticarse: podría bastar con enviar un paquete de red especialmente diseñado a un servicio afectado para explotar el fallo.
Un atacante no autenticado podría aprovechar esta vulnerabilidad enviando un paquete especialmente diseñado a través de la red a un servicio afectado.
La versión 11.2609.401.0 de Paint y las posteriores incluyen la corrección, mientras que las versiones anteriores se consideran vulnerables. Puedes comprobar la versión instalada en PowerShell con `Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version`.
La corrección se distribuye a través de Microsoft Store, así que instalar únicamente la actualización de Windows de octubre de 2026 no garantiza que Paint esté corregido. Windows Latest informó de que su instalación de Paint seguía en la versión 11.2603.251.0 pese a tener activadas las actualizaciones automáticas de Store, y de que allí no había ninguna actualización de Paint disponible.
Microsoft afirma que el fallo es difícil de explotar, y Windows Latest informó de que no se conocen casos de uso en ataques reales. Si Microsoft Store no ofrece la actualización de Paint, ¿hasta qué punto pueden confiar los usuarios en que la corrección se instale automáticamente?