El bug CVE-2026-83844 de Paint deja Windows 11 expuesto a ataques remotos, y Microsoft lleva tiempo sabiéndolo.
Vamos a decirlo claro: la app que abriste por última vez en 2009 para dibujar un círculo torcido es hoy una vía de entrada para ejecutar código a distancia. Según Neowin, la vulnerabilidad es una lectura fuera de límites (out-of-bounds read) en el motor de imagen de Paint, uno de esos fallos que se registran en la base de datos pública de CVE con nombre y apellidos. Traducido a barrio: alguien fabrica una imagen manipulada, tú la abres, y el visor se sale de su parcela de memoria hasta el terreno donde ya manda otro.
Qué hace exactamente este bug y por qué Paint no es tan inofensivo
El fallo vive en cómo Paint interpreta los archivos de imagen. Un atacante construye un fichero retocado, tú lo abres con la app de toda la vida y se dispara una conexión que habilita la ejecución de código en tu equipo. Remoto, sin instalar nada, sin aceptar permisos raros. Solo abriendo una imagen.
Suena a guion de Black Mirror de saldo, pero el vector es de manual: los visores de imágenes siempre han sido el eslabón blando del ecosistema. Cargar formatos exóticos, parsear metadatos, decodificar compresión... cada capa es una oportunidad para el desbordamiento de manual. Y Paint, con su fama de app de broma, arrastra la misma responsabilidad que cualquier visor profesional de 400 megas.
Añade el detalle incómodo: Microsoft llevaba un tiempo considerable al tanto del fallo antes de que la noticia se moviera. Eso no es un crimen, los ciclos de parcheo funcionan así, pero explica por qué la información de Neowin tiene ese aire de 'esto ya lo sabíais y nadie movió ficha'.
Una app que solo servía para dibujar monigotes acaba siendo la puerta de servicio del sistema operativo más instalado del planeta.
El parche existe, pero tu PC igual sigue en la versión vulnerable
Microsoft publicó la corrección en la versión 11.2605.91.0 de Paint. Fin teórico del problema. El problema real es que el despliegue va a cuentagotas: buena parte de los usuarios sigue anclada en la 11.2605.81.0, que es exactamente la edición afectada por el bug. Cuando lo probamos, la Microsoft Store saltó a la 11.2609.401.0 en cuestión de segundos; otros no tienen esa suerte, porque la actualización depende del canal, del anillo de Insider y de si la Store se digna. El Centro de Respuestas de Seguridad de Microsoft es el sitio donde mirar el detalle técnico del parche cuando toque.
Cómo saber si estás vendido: Configuración > Aplicaciones > Aplicaciones instaladas, buscas Paint y miras el número. Si está por debajo de 11.2605.91.0, tienes trabajo pendiente. Si la Store no te ofrece nada, paciencia y otro café. Cosas que pasan en 2026.
Y cuidado con la falsa sensación de seguridad: la complejidad del exploit es alta, sí, pero 'alta' no significa 'imposible'. Significa que hace falta alguien con tiempo, motivación y un objetivo que le compense. Ese filtro ha salvado más equipos que cualquier antivirus.
Por qué un visor de imágenes viejo sigue siendo una puerta abierta
Esto ya lo hemos visto. El fallo de WMF en 2006, aquel que coló un backdoor dentro de imágenes de metarchivo, y obligó a Microsoft a sacar un parche fuera de ciclo con urgencia. O los clásicos de JPEG incrustados que convertían un correo en una puerta trasera. La lección no ha cambiado en veinte años: cada formato que tu sistema es capaz de abrir es una superficie de ataque. Da igual que la app tenga tres botones y cero glamour. Lo que importa es cuántos píxeles ajenos se traga sin rechistar.
Mi lectura: el hype con esta noticia está mal calibrado. No es un apocalipsis y no debería ser trending topic por pánico. Es un recordatorio molesto de que la superficie de ataque de Windows no se mide en apps que abres, sino en apps que pueden abrir cosas. Paint venía preinstalado, nadie lo desinstala y ahí sigue, esperando su próxima imagen. La IA generativa, mientras tanto, abarata el trabajo sucio de encontrar y pulir estas grietas, algo que ya avisan quienes auditan código todo el día.
Hype-O-Meter
Nivel de hype: 5,5/10. Severidad alta, complejidad alta: el exploit es de artesanía, no de script kiddie con prisa. Lo que sí merece un cero es la dispersión del parche, porque una app preinstalada en cientos de millones de equipos no puede actualizarse 'cuando la Store quiera'.
El resumen para vagos (TL;DR)
- 🎯 ¿Qué ha pasado? Paint arrastra el CVE-2026-83844, una lectura fuera de límites que permite ejecutar código en remoto.
- 🔥 ¿Por qué importa? El parche está en la 11.2605.91.0, pero miles de equipos siguen en la versión vulnerable.
- 🤔 ¿Nos afecta o es solo un meme? Poco y despacio, porque el ataque es complejo: revisa tu versión de Paint igual.
