Windows Paint RCE düzeltmesi (CVE-2026-83844) doğrulandı ama Microsoft Store güncellemeleriyle gelmiyor

Yama mevcut ama cihazlara ulaşmıyor

Microsoft, 13 Ekim'de Windows'un yerleşik Paint uygulamasındaki uzaktan kod yürütme açığı olan CVE-2026-83844'ü duyurdu. Microsoft Security Response Center (MSRC), düzeltilmiş sürüm olarak 11.2609.401.0'ı gösteriyor ve Paint Windows 11'de bağımsız bir Microsoft Store uygulaması olarak yönetildiği için bu yama Windows Update yerine Store üzerinden dağıtılıyor.

de'de yayımlanan ve originally Japon yayın organı Joho no Todai'ye ait olan rapora göre bu dağıtım güvenilir biçimde gerçekleşmiyor. Otomatik Store güncellemelerinin etkin olduğu fiziksel bir Windows 11 makinesinde Paint 11.2609.251.0 sürümünde kaldı ve Store içinde elle güncelleme kontrolü yapıldığında bile bir şey sunulmadı. Birden fazla BT yöneticisi de kendilerine güncellemenin görünmediğini bağımsız olarak bildirdi.

Rapor ayrıca, ekim güvenlik yaması paketi de dahil olmak üzere kümülatif işletim sistemi güncellemelerinin Paint'i mutlaka düzeltilmiş bir sürüme taşımayacağını vurguluyor; çünkü uygulama kendi güncelleme kanalında ilerliyor.

Sürüm numarasının kendisi de kafa karışıklığına yol açtı. MSRC başlangıçta düzeltilmiş sürümü 11.2605.91.0 olarak listelemişti ve ekimin sonlarında Microsoft Q&A'ya gönderilen bir soru, bu sürümün Store'da bulunamadığına dikkat çekti. Mevcut MSRC sayfası ise bunun yerine 11.2609.401.0'ı listeliyor; bu da ilk rakamın bir yazım hatası olduğunu düşündürüyor. Bir kurulumu doğrulayan herkes, önceki haberlerde veya forum konularında geçen rakamlara değil, güncel MSRC listesine güvenmelidir.

Dağıtımın neden tıkandığı bilinmiyor. Rapor, bunun bölgeye veya Windows sürümüne göre aşamalı bir dağıtımı mı yoksa doğrudan bir dağıtım sorununu mu yansıttığının net olmadığını belirtiyor.

Güvenlik açığı neyi kapsıyor

CVE-2026-83844, CWE-125 olarak sınıflandırılıyor; Paint'te bir sınırlar dışı okuma (out-of-bounds read). Başarılı bir sömürü uzaktan kod yürütülmesine olanak tanıyabilir.

Microsoft'un CVSS v3.1 vektörü saldırı vektörünü Network, saldırı karmaşıklığını High, gereken yetkileri None ve kullanıcı etkileşimini None olarak puanlıyor; temel puan 8.1. Microsoft'un kendi önem derecelendirmesi Critical'in bir alt seviyesi olan Important.

MSRC'nin SSS bölümü saldırı senaryosunu şöyle tanımlıyor: Kimliği doğrulanmamış bir saldırgan, etkilenen bir hizmete ağ üzerinden özel olarak hazırlanmış paketler göndererek hedef sistemde kod yürütme potansiyeline ulaşabiliyor. Ancak raporun da belirttiği gibi, sıradan Paint uygulamasının gerçekte ağ girdisini nasıl kabul edebileceğine dair kamuya açık bir bilgi yok; dolayısıyla vektör kullanıcı etkileşimi gerektirmediğini gösterse de bir saldırının gerçek dünyadaki ön koşulları belirsizliğini koruyor.

Açıklama anında istismar kodu mevcut değildi ve aktif sömürü de doğrulanmamıştı. MSRC, yüksek saldırı karmaşıklığı derecelendirmesiyle tutarlı olarak sömürü olasılığını düşük değerlendiriyor.

Sisteminizi nasıl kontrol edebilirsiniz

Kullanıcılar Paint'in yamalanıp yamalanmadığını uygulamanın ayarlarından veya PowerShell üzerinden doğrulayabilir:

Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

Görüntülenen sürümün 11.2609.401.0 veya daha yeni olması, MSRC'nin güncel olarak listelediği düzeltilmiş sürümle eşleşir. Daha eski bir sürüm, Microsoft Store kitaplığında güncellemelerin elle kontrol edilmesi gerektiği anlamına gelir; orada da güncelleme sunulmuyorsa, raporun vardığı sonuç şu an için dağıtımın beklenmesinden başka bir seçenek olmadığıdır.

Store uygulama güncellemelerini Grup İlkesi (Group Policy) veya mobil cihaz yönetimiyle kontrol eden kurumlar ayrıca ilke ayarlarının teslimatı etkileyip etkilemediğini doğrulamalıdır.

Neden önemli

Bu aktif bir olay değil: hiçbir istismar gözlemlenmedi ve Microsoft da yüksek saldırı karmaşıklığı nedeniyle sömürüyü olası görmüyor. Hikâye önemli çünkü bir yama boşluğunu ortaya koyuyor. Güvenlik açığı Store ile yönetilen bir uygulamada yaşandığında "Microsoft düzeltti" ifadesi "cihazınızda mevcut" anlamına gelmiyor. Ekim Windows Update yamaları Paint'in durumu hakkında hiçbir sinyal vermiyor ve Store otomatik güncellemelerinin bazı sistemlerde sürümü teslim edemediği kanıtlanmış durumda. Puanı 8.1 olan ağ vektörlü bir açık için tek güvenilir doğrulama yolu sürüm numarasını kendiniz kontrol etmek ve Microsoft gecikmeyi açıklayana ya da çözene kadar bu elle kontrol, kullanıcılar ve yöneticiler için tüm düzeltme hikâyesi olmaya devam ediyor.