Los ciberataques ahora afectan a Microsoft Paint: cómo protegerse de esta nueva amenaza

Microsoft Paint, la aplicación de dibujo integrada en Windows, contiene una falla de seguridad que permite a un atacante ejecutar código malicioso sin que el usuario realice ninguna acción. La vulnerabilidad, identificada como CVE-2026-83844, recibió una calificación de 8,1 sobre 10 según el Microsoft Security Response Center, el organismo encargado de evaluar riesgos en los productos de Microsoft.

El fallo corresponde a una lectura fuera de los límites de memoria (out-of-bounds read) dentro de la aplicación. Según la clasificación técnica, tiene un vector de ataque de red, no requiere privilegios previos por parte del atacante y presenta una alta complejidad de ataque. En la práctica, esto significa que basta con abrir un archivo de imagen especialmente manipulado para que el código malicioso se ejecute en el sistema, sin necesidad de que la víctima haga clic en nada.

El parche existe, pero no llega a todos los usuarios

Microsoft lanzó una corrección el 13 de octubre, durante el último Patch Tuesday, el ciclo mensual de actualizaciones de seguridad de la compañía. Sin embargo, el medio especializado Windows Latest detectó que esa solución no llegó a todos los equipos: al revisar la versión de Paint instalada en su propio sistema, encontró el número 11.2603.251.0, correspondiente a la versión previa al parche, y no la 11.2609.401.0, que es la recomendada tras la corrección.

El problema no se limita a un caso aislado. Algunos programas antivirus marcaron directamente a Paint como una aplicación sin actualizar, y tanto usuarios como administradores de sistemas reportaron lo mismo en plataformas como Microsoft Q&A y Reddit: no lograban obtener la versión parcheada incluso después de buscar actualizaciones manualmente.

En todos los casos documentados, la actualización automática estaba correctamente habilitada, lo que descarta un error de configuración por parte de los usuarios.

A la confusión se sumó un dato adicional: Microsoft había identificado inicialmente la versión 11.2605.91.0 como la que resolvía la vulnerabilidad, mientras que la Microsoft Store seguía distribuyendo la versión anterior, 11.2605.81.0.

Más tarde, la guía oficial de actualizaciones de seguridad de la compañía pasó a señalar la versión 11.2609.401.0 como la corrección definitiva, lo que generó dudas sobre si el número original había sido un error. Aún no está claro si la falla se originó en la distribución de la actualización o en la propia aplicación Paint.

Cómo verificar si el equipo está protegido

Ante la falta de certeza sobre el estado de la actualización, se recomienda no confiar únicamente en el indicador de la Microsoft Store y comprobar de forma directa la versión instalada. Para hacerlo, es necesario abrir una ventana de PowerShell con permisos de administrador, algo que se logra haciendo clic derecho en el menú Inicio y seleccionando la opción Terminal (Admin).

Una vez abierta la terminal, se debe ejecutar el siguiente comando: Get-AppxPackage Microsoft.Paint | Select-Object Name, Version

El resultado mostrará el número de versión de Paint instalado en el equipo, que debe compararse con el 11.2609.401.0, señalado por el aviso oficial de seguridad de Microsoft como la versión corregida. Como alternativa, también es posible consultar este dato desde la Configuración de Windows, en la sección de aplicaciones instaladas, donde puede ser necesario abrir las “opciones avanzadas” para ver el número completo.

Qué hacer si la versión sigue desactualizada

Si tras la verificación la versión instalada resulta ser anterior a la recomendada, el primer paso es buscar actualizaciones manualmente desde la Microsoft Store. Para los administradores de sistemas que no logren obtener la corrección por esta vía, existen medidas temporales de contención: restringir la apertura de archivos de imagen provenientes de fuentes no confiables o, directamente, eliminar Paint de aquellos equipos donde la aplicación no resulte imprescindible.

Este episodio se suma a otro problema reciente de actualizaciones de Microsoft, ya que la compañía debió corregir por segunda vez un error en la función de copiar y pegar de Excel, después de que una actualización de octubre reintrodujera la misma falla que ya había sido resuelta con anterioridad.