要点
- Windows に最初から入っている「Paint」に、外から他人のプログラムを動かされうる欠陥があると Microsoft が公表し、修正版を出した。
- Microsoft によると、今のところ悪用は確かめられておらず、攻撃を成り立たせるのは難しいとされる。
- 修正は Microsoft Store から届くが、自動更新を有効にしていても修正されないままになりうる、という報道がある。自分で版を確かめたい。
何が起きたか
Microsoft は 2026年10月13日（日本時間では同じ日の23時）、毎月の定例の更新にあわせて、Paint の欠陥 CVE-2026-83844 を公表した。名前は「Windows Paint Remote Code Execution Vulnerability」。リモートコード実行（離れた場所から、他人の PC で好きなプログラムを動かすこと）につながる欠陥という意味だ。
Microsoft の説明では、欠陥の中身は「境界外読み取り」である。プログラムが、読んでよい範囲の外にあるメモリまで読んでしまう不具合をいう。これを突かれると、ログインも何もしていない攻撃者に、ネットワーク越しにコードを実行されうるという。
重さの点数（CVSS。0〜10 で欠陥の重さを表す共通の物差し）は 8.1 で、「高」にあたる。Microsoft 自身の格付けは、4段階で上から2番目の「重要」である。一方で Microsoft は、攻撃の難しさを「高」としている。成功させるには対象のことを深く知っている必要があり、環境や設定、ほかの守りがあるかで成功するかどうかが変わる、という説明だ。
Microsoft の見立ては「悪用される可能性は低い」。公表の時点で、悪用も、詳しい中身が先に世に出たことも「無い」としている。CVE の記録に CISA（米国のサイバーセキュリティの当局）が添えた評価も、悪用は「無し」である。
どうすると当たるのかについては、情報が割れている。報道（Techzine が Windows Latest の記事を引いている）は「細工した画像で引き起こされる」と説明している。ところが Microsoft の文書には、画像やファイルを開くという話は書かれていない。Microsoft のよくある質問の欄には「細工したパケットを、ネットワーク越しに対象のサービスに送る」「利用者の操作は要らない」とある。ただ、この書き方は Paint のようなアプリには合いにくく、ほかの欠陥と同じ定型の文に見える。結局、どんな条件で当たるのかは、Microsoft の一次情報からははっきりしない。見つけた研究者の名前も出ていない。
日本の利用者への影響
Paint は Windows 11 に最初から入っているアプリで、日本でも、仕事や家の PC のほとんどにある。影響を受けるのは版が 11 の系列の Paint で、Microsoft Store から更新される今の Paint にあたる。
日本での被害について、Microsoft の文書に記述は無い。Microsoft は、公表の時点で悪用は確かめられていないとしている。今は「欠陥が公表され、修正が配られ始めた」段階だ。
気をつけたいのは、修正の届き方である。Paint の修正は Windows Update の毎月のまとめた更新には入っておらず、Microsoft Store のアプリ更新として配られる。Techzine は、管理者から「更新が届かない」という声があり、Store がまだ古い版を出していた例があると伝えている。Store を止めている会社の PC では、そもそも更新が入らないこともありうる。
今すぐやること
- Paint を開き、右上の歯車（設定）から版を見る。11.2609.401.0 以上なら修正済みだ。
- 古いままなら、Microsoft Store を開いて「ライブラリ」から更新を確かめる。Store が「最新」と言っても、版の数字で確かめ直す。
- 会社の PC の管理者は、Store アプリの更新を配れているかを確かめる。Store を止めているなら、別の配り方を考える。
- 更新がすぐ入らない PC では、出どころの分からない画像を Paint で開かないようにする。Paint を使わない PC なら、外しておくのも手だ（Techzine が紹介している対策で、Microsoft の勧めではない）。
背景
Paint は長い間、Windows の中に組み込まれた小さな道具だった。今の Paint は、Microsoft Store から更新されるアプリである。アプリの機能が増えるほど、画像やデータを読み込む部分も増え、欠陥の入りうる場所も増える。
画像を扱うアプリで、読み込みの処理の欠陥からコードを実行されうる、という話は珍しくない。報道によると、Paint には今回とは別の欠陥 CVE-2026-70586 もあるとされる。調べるときは番号を取り違えないようにしたい。
もう一つの論点は、Store アプリの修正の届き方だ。Windows Update で一斉に直る部分と違い、Store のアプリは配られる時期が PC ごとにずれることがある。修正の版の数字が Microsoft の文書の中で食い違っていたことも、混乱を大きくした。
技術者向けの詳細
- CVE: CVE-2026-83844 / CWE-125（境界外読み取り）
- CVSS 3.1: 8.1（
AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）、temporal 7.1（E:U/RL:O/RC:C） - MSRC: 重要度 Important、Exploitation Less Likely、Exploited: No、Publicly Disclosed: No
- CISA ADP の SSVC: Exploitation none / Automatable no / Technical Impact total
- 修正の版の食い違い:
- CVE レコードの影響範囲: 11.0.0.0 以上、11.2605.91.0 未満
- MSRC Security Update Guide の製品表: 修正版 11.2609.401.0（Store App、KB 番号なし）
- Techzine は、前の表記は誤記の可能性があるとしつつ、Microsoft は確認していないと伝えている。安全側に、11.2609.401.0 以上を目安にするのがよい
- 配布: Microsoft Store（Paint の製品 ID
9PCFS5B6T72H） - 入っている版を確かめる（PowerShell）:
Get-AppxPackage Microsoft.Paint | Select-Object Name, Version
- 複数の PC は、Intune などで上の結果を集めて、11.2609.401.0 未満を洗い出す
- Microsoft の公式の回避策（workaround・mitigation）は出ていない
- 公開: 2026-10-13 07:00（米太平洋夏時間）。CVE レコードの最終更新は 2026-10-31