Nelle scorse ore è emersa una vulnerabilità molto grave in Microsoft Paint, il celebre software di fotoritocco preinstallato su Windows 11. La falla consente di eseguire codice non autorizzato da remoto semplicemente aprendo un'immagine infetta scaricata da internet. Il punteggio CVSS, che misura la gravità delle vulnerabilità, è di 8,1 su 10: un livello che non lascia spazio a sottovalutazioni.
Come funziona l'attacco
Tecnicamente si tratta di un out-of-bounds read: il software viene indotto a leggere aree di memoria esterne a quelle previste dal sistema. La buona notizia è che la complessità dell'attacco è classificata come elevata, quindi la probabilità che circolino exploit nell'immediato è relativamente bassa. Serve inoltre indurre l'utente a scaricare l'immagine e ad aprirla in Paint, un passaggio non del tutto automatico. Insomma, il rischio è concreto ma non immediato.
Il rebus della correzione
La questione più curiosa riguarda la tempistica del fix. Microsoft ha pubblicato i dettagli della vulnerabilità il 13 ottobre, indicando inizialmente la versione Paint 11.2605.91.0 come quella sicura. Peccato che diversi amministratori non riescano a reperirla: in una discussione su Microsoft Q&A un utente ha segnalato che il Microsoft Store continua a distribuire la build 11.2605.81.0, nonostante la documentazione di sicurezza indichi un aggiornamento successivo. Una discrepanza che, a quanto pare, persiste ancora oggi.
In attesa che il pacchetto corretto diventi effettivamente scaricabile, la raccomandazione resta la solita: evitare di aprire immagini provenienti da fonti non affidabili e tenere d'occhio gli aggiornamenti del Microsoft Store. La trasparenza sulla distribuzione dei fix, però, resta un tema su cui Redmond dovrà fare chiarezza.
