Basta un bug su Windows Paint per entrare nel PC! Scoperta una grave falla zero-click

Una grave vulnerabilità zero-click in Microsoft Paint può consentire agli hacker di eseguire codice da remoto sui PC Windows 11 attraverso pacchetti di rete appositamente costruiti. La falla CVE-2026-83844 ha un punteggio CVSS di 8.1, ma la patch distribuita tramite Microsoft Store non raggiunge ancora tutti gli utenti.

Nel tool di disegno integrato in Microsoft Windows 11 (Microsoft Paint) è stata recentemente scoperta una grave vulnerabilità di sicurezza. In condizioni specifiche, gli attaccanti possono inviare pacchetti di dati di rete costruiti in modo speciale ai dispositivi interessati e potenzialmente eseguire codice dannoso da remoto senza che l’utente se ne accorga, anche senza dover cliccare su alcun file o link.

Ancora più preoccupante, Microsoft ha già rilasciato una patch di correzione, ma alcuni utenti, anche con l’aggiornamento automatico di Microsoft Store attivato, non riescono ancora a ottenere l’aggiornamento corrispondente. La vulnerabilità è identificata con il numero CVE-2026-83844, resa pubblica da Microsoft il 13 ottobre 2026, con un punteggio di gravità di 8.1 su 10, classificata come di livello “importante”.

Sebbene non abbia raggiunto il livello più alto di “critico” di Microsoft, il suo potenziale impatto non può essere trascurato. Secondo il bollettino di sicurezza di Microsoft, la vulnerabilità è un problema di lettura fuori dai limiti (Out-of-bounds Read), in cui il programma tenta di leggere dati al di fuori dell’area di memoria prevista. In determinate circostanze, gli attaccanti possono sfruttare questa lacuna per eseguire codice remoto, consentendo loro di eseguire codice scritto autonomamente sui computer interessati.

Microsoft descrive il metodo di attacco come segue: un attaccante non autenticato può inviare pacchetti di dati costruiti in modo speciale al servizio interessato tramite la rete, innescando la vulnerabilità. Ciò significa che l’attaccante non ha bisogno di indurre l’utente ad aprire file dannosi o attendere che l’utente esegua un’azione specifica, motivo per cui è stata definita dai media una vulnerabilità “zero-click”.

Tuttavia, Microsoft ha anche sottolineato che lo sfruttamento effettivo di questa vulnerabilità presenta una certa difficoltà. Al momento della pubblicazione del rapporto di Windows Latest, non sono stati segnalati casi di sfruttamento della vulnerabilità in attacchi reali. Pertanto, sebbene gli utenti debbano verificare rapidamente lo stato della patch, non è necessario allarmarsi eccessivamente.

Ciò che è davvero preoccupante è che è emerso un problema nella distribuzione delle patch. Il 13 ottobre, insieme alla divulgazione della vulnerabilità, Microsoft ha distribuito una versione corretta tramite Microsoft Store. Secondo la documentazione di supporto di Microsoft, il tool deve essere aggiornato alla versione 11.2609.401.0 o superiore per considerarsi protetto dalla vulnerabilità.

Per gli utenti che desiderano verificare se sono interessati, possono controllare la versione effettiva del tool tramite Windows PowerShell.

Il tool di disegno, sebbene sia solo un’applicazione di base di Windows, può comunque diventare un punto di ingresso per gli attaccanti. Ciò che rende particolarmente degna di nota questa vulnerabilità non è solo la sua capacità di eseguire codice remoto, ma anche il fatto che Microsoft abbia annunciato di aver fornito una soluzione di correzione, ma alcuni utenti non riescano a ottenere la patch attraverso i canali di aggiornamento normali.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response