In dem unter Windows 11 verfügbaren Bildbearbeitungsprogramm Microsoft Paint wurde eine schwerwiegende Sicherheitslücke entdeckt, über die Angreifer Schadcode auf betroffenen Computern ausführen können. Besonders gefährlich ist, dass dafür weder eine Anmeldung noch eine aktive Handlung der Nutzer:innen erforderlich ist. Solche Schwachstellen werden auch als „Zero-Click-Lücken“ bezeichnet.

Die Sicherheitslücke wird unter der Kennung CVE-2026-83844 geführt und erreicht mit einem CVSS-Wert von 8,1 einen hohen Schweregrad. Ursache ist ein Fehler bei der Verarbeitung von Speicherinhalten, durch den Angreifer unter bestimmten Voraussetzungen eigenen Programmcode ausführen können. Dazu genügt laut Microsoft die Übermittlung eines speziell präparierten Datenpakets über das Netzwerk.

Allerdings gilt die Schwachstelle als schwierig auszunutzen. Angreifer benötigen dafür fundierte Kenntnisse des betroffenen Systems und seiner Konfiguration. Bislang gibt es keine bestätigten Hinweise darauf, dass die Sicherheitslücke bereits aktiv für Angriffe ausgenutzt wird.

Betroffen ist die über den Microsoft Store bereitgestellte Paint-Version für Windows 11. Microsoft hat bereits ein Sicherheitsupdate veröffentlicht, das die Schwachstelle ab Version 11.2609.401.0 behebt. Allerdings scheint das Update noch nicht auf allen Geräten verfügbar zu sein. Selbst bei aktivierten automatischen Updates haben einige Nutzer:innen die abgesicherte Version bislang nicht erhalten.

Da Paint über den Microsoft Store aktualisiert wird, reicht ein reguläres Windows-Update allein nicht aus. Nutzer:innen sollten daher zusätzlich prüfen, ob für Paint eine Aktualisierung verfügbar ist.

SiBa empfiehlt:

• Paint-Version überprüfen: Kontrollieren Sie, ob mindestens Version 11.2609.401.0 installiert ist.
• Updates installieren: Suchen Sie im Microsoft Store regelmäßig nach Aktualisierungen für Paint.
• Automatische Updates aktivieren: Stellen Sie sicher, dass Anwendungen möglichst automatisch aktualisiert werden.
• IT-Sicherheit prüfen: Unternehmen sollten kontrollieren, ob betroffene Geräte aktualisiert wurden, und fehlende Updates nachholen.

Wer kann mir helfen?

• Microsoft: Probleme mit Apps aus dem Microsoft Store beheben
• Microsoft: Sicherheitsinformationen zu CVE-2026-83844

Wie schütze ich mich?

• DsiN – Digitalführerschein: Updates
• Microsoft: Automatische App-Updates aktivieren

Quelle der Meldung: Schadcode-Attacken möglich: In Microsoft Paint klafft eine Zero-Click-Lücke – Golem.de