Solusi penanganan celah keamanan CVE-2026-83844, kerentanan eksekusi kode jarak jauh pada aplikasi Windows Paint, kini telah hadir di Microsoft Store. Pengguna hanya dapat memperoleh perbaikan ini melalui pembaruan di Store, bukan lewat mekanisme Windows Update biasa.
Versi yang telah diperbaiki, 11.2609.401.0, tercatat sebagai rilisan Paint paling mutakhir di sepuluh negara berbeda yang dipantau oleh The Hacker News hari ini.
Kelemahan sistem ini berupa pembacaan di luar batas memori yang berpotensi memberi peluang bagi peretas mengeksekusi kode berbahaya via jaringan internet. Microsoft memberikan tingkat keparahan Important dengan skor CVSS 8.1, serta menjelaskan bahwa keberhasilan serangan membutuhkan pemahaman mendalam tentang sistem yang disasar. Masalah ini belum terdeteksi dieksploitasi di alam liar maupun diumumkan secara luas ke publik sewaktu pihak korporasi pertama kali merilis laporannya pada 13 Oktober.
Brian Vitko, perwakilan dari pembuat software manajemen perangkat RFF, sempat memeriksa ketersediaan versi Paint di Microsoft Store pada enam negara awal pekan ini. Hasil pemantauannya menemukan bahwa varian terbaru di seluruh kawasan tersebut masih bernomor 11.2605.81.0, versi yang belum dibekali tambalan keamanan.
Mesin virtual pengujian miliknya belakangan telah berhasil beralih menuju versi yang aman secara otomatis melalui sistem Store. Namun, pengujian itu baru mencakup satu perangkat komputer, sehingga durasi distribusi ke PC lain secara menyeluruh masih belum dapat dipastikan.
Menentukan Versi Paint yang Dinyatakan Aman
Pemberitahuan resmi Microsoft menyebutkan nomor 11.2609.401.0 sebagai rilis penambal resmi. Kendati demikian, catatan CVE mengenai masalah ini, yang turut dipublikasikan oleh pihak pengembang, masih menandai aplikasi Paint rentan hanya di bawah build 11.2605.91.0. Entri NVD juga mendokumentasikan batasan versi identik.
Konsekuensinya, alat pemindai kerentanan yang membaca data CVE bakal menganggap build 11.2605.91.0 ke atas sudah sepenuhnya terlindungi. Salinan Paint pada build 11.2609.401.0 atau lebih anyar akan otomatis lolos pengecekan berdasarkan kedua patokan angka tersebut.
Hingga pekan lalu, petunjuk keamanan masih menyantumkan build 11.2605.91.0 sebagai batas aman, sebagaimana terpantau dari diskusi tanya jawab di forum Microsoft Q&A. Sampai sekarang riwayat revisi dokumen resmi itu hanya menampilkan catatan tanggal 13 Oktober tanpa penjelasan mengenai perubahan nomor.
Langkah Meninjau Tiap Instalasi Paint
Aplikasi Paint, layaknya piranti lunak bawaan Store lainnya, terpasang secara mandiri pada tiap profil pengguna di dalam komputer. Sistem Windows pun menyimpan salinan master terkonfigurasi guna dipasang otomatis pada tiap akun pengguna baru. Memeriksa akun aktif semata berisiko melewatkan instalasi lama.
Dalam tinjauan teknisnya, Vitko membagikan dua rangkaian instruksi perintah untuk dijalankan melalui terminal PowerShell dengan hak akses administrator. Skrip baris pertama bertugas mendata seluruh versi Paint di setiap profil pengguna, sedangkan baris kedua memeriksa salinan master bawaan sistem.
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Version, @{ n = ‘Users’; e = { $_.PackageUserInformation.UserSecurityId.Username -join ‘, ‘ } }
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq ‘Microsoft.Paint’ | Select-Object Version
Bila masih ada instalasi di bawah build 11.2609.401.0:
Peringatan resmi tidak mencantumkan solusi sementara maupun mitigasi khusus. Sebelum paket perbaikan didistribusikan ke Store, Vitko sempat menyarankan pencopotan instalasi Paint pada perangkat yang tidak memerlukannya, baik di setiap pengguna maupun salinan masternya. Tindakan tersebut memang belum sempat ia uji secara langsung.
Parameter Penetrasi dan Kondisi Eksploitasi
Pihak penyerang mampu memicu kerentanan dengan mengirimkan paket data yang dimodifikasi secara khusus ke layanan rentan via transmisi jaringan, jelas panduan keamanan, kendati jenis layanannya tidak diurai spesifik. Serangan ini tidak mensyaratkan proses login akun serta tanpa interaksi dari pengguna korban.
Celah ini belum terdaftar pada katalog Kerentanan yang Diketahui Dieksploitasi kelolaan Cybersecurity and Infrastructure Security Agency AS ketika dicek oleh The Hacker News hari ini, setelah katalog diperbarui awal pekan ini.
About the Author
