Faille critique CVE-2026-83844 sur Paint : tout comprendre pour sécuriser Windows 11

Date modification: 8 novembre 2026

Une faille critique référencée sous l’identifiant CVE-2026-83844 touche actuellement l’application Paint intégrée à Windows 11. Affichant un score CVSS de 8.1, cette vulnérabilité de type lecture hors limites (CWE-125) permet potentiellement une exécution de code à distance si le logiciel traite un fichier graphique corrompu.

Contrairement aux failles classiques du système, la correction de ce bogue nécessite une manipulation spécifique liée au mode de distribution de l’application.

Comprendre la vulnérabilité CVE-2026-83844 dans Paint

Le problème réside dans la gestion des flux de données graphiques par l’exécutable de Paint. Lorsqu’un utilisateur ouvre une image spécifiquement modifiée, le composant lit une zone mémoire située au-delà de la mémoire tampon allouée.Aucun privilège administrateur ni interaction complexe ne sont exigés pour déclencher l’anomalie initiale.

La principale difficulté pour les administrateurs et les utilisateurs réside dans le canal de mise à jour. Paint n’est plus géré directement par le système d’exploitation de base, mais sous forme de paquet applicatif distribué via le Microsoft Store.Par conséquent, les correctifs mensuels classiques déployés par Windows Update ou WSUS n’actualisent pas automatiquement l’outil. De plus, les premiers bulletins de sécurité mentionnaient une version cible erronée (11.2605.91.0),avant qu’un correctif officiel ne désigne la version 11.2609.401.0.

Comment vérifier la version de Paint sur votre PC

Le message « Votre application est à jour » affiché par l’interface du Microsoft Store se révèle parfois imprécis en raison des déploiements par vagues. Deux méthodes permettent de confirmer la version réellement présente sur la machine.

Méthode 1 : Via l’interface graphique

Lancez Microsoft Paint depuis le menu Démarrer.
Ouvrez le menu des paramètres via l’icône en forme d’engrenage.
Consultez la section « À propos de Paint » pour lire le numéro de version exact.

Méthode 2 : Via PowerShell

Pour auditer rapidement le système ou un parc de machines, ouvrez PowerShell avec les privilèges administrateur et exécutez la commande suivante :

Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Name, Version, PackageUserInformation

Si le numéro renvoyé est inférieur à 11.2609.401.0, l’application reste vulnérable.

Appliquer le correctif et sécuriser le poste

Pour forcer l’installation de la version corrective 11.2609.401.0 :

Via le Microsoft Store : Ouvrez l’application du Store, rendez-vous dans la rubrique Bibliothèque, puis cliquez sur Obtenir les mises à jour.
Via la ligne de commande (Winget) : Exécutez l’instruction suivante pour automatiser l’actualisation du paquet sans passer par l’interface graphique :
winget upgrade --id 9PCFS5B6T72H --source msstore --accept-package-agreements --accept-source-agreements
Désinstallation : Sur les postes professionnels où l’outil graphique s’avère superflu, la suppression définitive du paquet via les commandes d’administration supprime totalement la surface d’attaque.