Het ernstige lek in Paint dichten kan enkel via de Microsoft Store, en daar kijken beheerders makkelijk over
Een volledig bijgewerkte Windows-pc kan nog altijd een kwetsbare versie van het tekenprogramma bevatten.
Microsoft waarschuwde half oktober voor een kwetsbaarheid in Paint waarmee een aanvaller op afstand code zou kunnen uitvoeren, met een ernstscore van 8,1 op 10. De herstelde versie wordt echter niet via Windows Update verspreid maar enkel via de Microsoft Store, meldt The Hacker News. Volgens Microsoft is de fout niet actief misbruikt en is uitbuiting weinig waarschijnlijk, omdat een aanvaller het doelsysteem grondig moet kennen.
Lange tijd was de herstelde versie bovendien niet te vinden: The Hacker News stelde vast dat de Store in zes landen nog een oudere build aanbood en dat een beheerder op het hulpforum van Microsoft al op 30 oktober tevergeefs naar de juiste versie vroeg. Inmiddels is build 11.2609.401.0 in alle tien gecontroleerde landen beschikbaar. Het advies van Microsoft en de officiële CVE-gegevens noemen wel verschillende versienummers als drempel.
Vooral bedrijven lopen risico de update te missen, schrijft SOCRadar. Wie de Store blokkeert of apps via beheersoftware zoals Intune verdeelt, krijgt de herstelling niet automatisch. Paint wordt bovendien per gebruikersprofiel geïnstalleerd, zodat op één pc verschillende kopieën kunnen staan, schrijft SQ Magazine. Beheerders wordt aangeraden alle kopieën na te kijken en een update via de Store af te dwingen.