La grave faille de Paint ne se corrige que via le Microsoft Store, que les administrateurs risquent d'oublier

Microsoft a signalé à la mi-octobre une vulnérabilité dans Paint qui pourrait permettre à un attaquant d'exécuter du code à distance, avec un score de gravité de 8,1 sur 10. La version corrigée n'est toutefois pas distribuée via Windows Update, mais uniquement par le Microsoft Store, rapporte The Hacker News. Selon Microsoft, la faille n'a pas été activement exploitée et une exploitation est peu probable, car l'attaquant devrait connaître en détail le système visé.

Pendant longtemps, la version corrigée était même introuvable: The Hacker News a constaté que le Store proposait encore une version plus ancienne dans six pays, et qu'un administrateur avait demandé en vain la bonne version sur le forum d'aide de Microsoft dès le 30 octobre. La version 11.2609.401.0 est désormais disponible dans les dix pays vérifiés. L'avis de Microsoft et les données officielles CVE mentionnent cependant des numéros de version de référence différents.

Les entreprises risquent particulièrement de passer à côté de la mise à jour, écrit SOCRadar. Celles qui bloquent le Store ou distribuent les applications par un logiciel de gestion comme Intune ne reçoivent pas le correctif automatiquement. Paint est en outre installé par profil d'utilisateur, si bien qu'un même PC peut en contenir plusieurs copies, écrit SQ Magazine. Il est conseillé aux administrateurs de vérifier toutes les copies et d'imposer une mise à jour via le Store.