Microsoft Paint’te uzaktan kod çalıştırma açığı

Paint denince akla bir güvenlik açığından önce çizim yapmak, ekran görüntüsünü kırpmak geliyor. Bu kez konu biraz farklı: Microsoft, Paint için uzaktan kod çalıştırmaya izin veren bir açık yayımladı. Kayıt numarası CVE-2026-83844. Konu yeniden konuşuluyor ama açık bugün çıkmış değil; CVE kaydı 13 Ekim 2026 tarihli.

Paint’te ne olmuş?

Microsoft’un açıklaması kısa: Paint’teki bir sınır dışı okuma hatası, yetkisiz bir saldırganın ağ üzerinden kod çalıştırmasına yol açabiliyor. Etkilenen sürümler 11.0.0.0 ile başlıyor; 11.2605.91.0 bu aralığın dışında, yani düzeltmenin geldiği sınır sürüm. CVSS 3.1 puanı ise 8,1 — yüksek.

Kaydın saldırı değerlendirmesinde kullanıcı etkileşimi ve önceden yetki gerekmiyor; saldırının karmaşıklığı ise yüksek olarak belirtilmiş. Bunlar ciddi bir açığı tarif ediyor. Yine de buradan, internete bağlı her Paint’in doğrudan ele geçirilebildiği sonucunu çıkarmamak gerekiyor. İncelediğim CVE açıklaması saldırının hangi dosya biçimiyle veya hangi işlem zinciriyle gerçekleştiğini anlatmıyor. Microsoft’un güvenlik duyurusu bu açık için esas başvuru adresi.

Sınır dışı okuma ne demek?

Bir programın bellekte okuyacağı verinin bir başlangıcı ve sonu var. Kod bu sınırın dışına çıkıp okumaya devam ederse, o veriye ait olmayan belleğe erişmiş oluyor. Buradaki hata sınıfı CWE-125 bunu anlatıyor.

Bu tür hatalar bazen programı çökertiyor, bazen bellekteki bilgilerin açığa çıkmasına neden oluyor. Başka bir açığın kullanılmasını kolaylaştırmaları da mümkün. Fakat her sınır dışı okuma hatası tek başına kod çalıştırma demek değil. Paint kaydında Microsoft sonucu uzaktan kod çalıştırma olarak sınıflandırmış; bu sonuca giden teknik adımlar ise kısa CVE açıklamasında yer almıyor.

Bir resim dosyasının yalnızca ekranda gördüğümüz piksellerden ibaret olmadığını burada hatırlamak gerekiyor. Program o dosyayı açabilmek için içindeki yapıları, uzunlukları ve farklı alanları işliyor. Paint’in arayüzünün basit olması, arkasındaki bütün kodun da basit olduğu anlamına gelmiyor. Bu genel bir durum; söz konusu açığın tam olarak hangi görüntü işleme yolunda bulunduğunu bildiğimiz anlamına gelmiyor.

Paint kullanıyorsan

Microsoft Store’dan Paint güncellemesini kontrol edip uygulamanın sürümüne bakmak iyi bir başlangıç. CVE’deki etkilenen aralıkta kalıyorsa güncellemek gerekiyor. Yalnızca Windows güncel diye Paint sürümünü kontrol etmeden geçmemek lazım.

Ben bu haberde en çok uygulamanın adına takılıyorum: Paint. Güvenlik güncellemesi konuşurken çoğu zaman tarayıcı, sunucu veya işletim sistemi düşünüyoruz. Ara sıra açıp kapattığımız bir çizim programı kolayca unutuluyor. Onun güncellemesini de bekletmemek gerekiyor.

Konunun Hacker News’teki tartışmasını da kaynaklara ekledim. Etkilenen sürümler ve teknik sınıflandırma için yorumları değil, Microsoft’un yayımladığı kaydı esas aldım.

Siz en iyisi PckOS’ta henüz olmayan Paint’i kullanın, kafanız rahat olsun. 😄