ペイントの脆弱性CVE-2026-83844｜「操作なしで遠隔から」は訂正、更新はStoreで

01何が変わった？11月7日の改訂

CVE-2026-83844は、Microsoftが2026年10月13日（米国時間）に公表したペイントの脆弱性です。分類は「範囲外読み取り（Out-of-bounds Read）」、深刻度はMicrosoftの4段階で上から2番目の「重要（Important）」です。

Microsoftのセキュリティ更新プログラム ガイドの改訂履歴には、次の3つが記録されています（日付は米国時間）。

1. 10月13日：情報を公開
2. 11月6日：脆弱性に完全に対処するため、ビルド番号11.2609.401.0の新しいペイントを公開。インストールするか、自動で更新されたことを確認するよう推奨
3. 11月7日：FAQを追加し、CVSSスコアを更新（「情報の変更のみ」）

改訂前の値は、改訂前に報じたTECH+（11月6日）とThe Hacker News（11月6日）の記事にもとづきます。現在の値は、Microsoftのガイドと、MicrosoftがCVE.orgに登録した記録（11月7日更新、評価ベクトルCVSS:3.1/AV:L/AC:H/PR:N/UI:R）で確認しました。

出典：Microsoft セキュリティ更新プログラム ガイド「CVE-2026-83844 Windows Paint Remote Code Execution Vulnerability」、CVE.org「CVE-2026-83844」（Microsoftが登録したCVE記録、2026年11月7日更新）、The Hacker News「Microsoft Paint RCE Fix Now Available, but Windows Update Won’t Deliver It」（2026年11月6日）、TECH+「Windows 11のペイントに脆弱性、遠隔からコード実行の恐れ」（2026年11月6日）

02「リモートコード実行」なのにローカル？

タイトルは今も「Windows Paint Remote Code Execution Vulnerability（リモートコード実行の脆弱性）」のままです。これについてMicrosoftは、11月7日に追加したFAQで次のように説明しています。

• タイトルの「リモート」は攻撃者がいる場所を指していて、攻撃そのものはローカルで行われる。
• たとえば、攻撃者が言葉巧みに、細工したファイルをWebサイトからダウンロードして開くよう被害者を誘導し、そのパソコン上で攻撃が起きる、というケースが考えられる。

これはMicrosoftが挙げた「例」で、この脆弱性の具体的な攻撃方法が公表されたわけではありません。また、攻撃の複雑さは「高」で、成功にはシステムへの深い理解が必要で、成功するとは限らないとされています。

出典：Microsoft セキュリティ更新プログラム ガイド「CVE-2026-83844 Windows Paint Remote Code Execution Vulnerability」

03日本ではどう伝わっている？

日本では11月6日ごろ、TECH+が「遠隔からコード実行の恐れ」「攻撃経路はネットワーク経由で、事前の権限やユーザーの操作は必要ない」と報じました。これは当時のMicrosoftの評価をそのまま伝えたもので、報じた時点では正確でした。

その後11月7日（米国時間）にMicrosoftが評価を改訂しましたが、11月10日に確認した時点でも、改訂前の「操作なしで遠隔から」という説明のまま広がっている記事や投稿が多く見られます。

• 日本で影響があるか：あります。ペイントはWindows 11の標準アプリで、日本のパソコンも対象です。
• 正しい理解：「何もしなくてもネットから乗っ取られる」ではなく、「細工されたものを開くなど、利用者の操作が関わる」タイプ。ただし更新は必要。
• 日本の利用者がすること：Microsoft Storeでペイントを更新する。

出典：TECH+「Windows 11のペイントに脆弱性、遠隔からコード実行の恐れ」（2026年11月6日）、Microsoft セキュリティ更新プログラム ガイド「CVE-2026-83844 Windows Paint Remote Code Execution Vulnerability」

04どこまで心配すればいい？

Microsoftのガイドでは、この脆弱性は公表時点で「一般に公開されていない」「悪用されていない」とされ、悪用の可能性の評価は「悪用される可能性は低い（Exploitation Less Likely）」です。

一方で、「お客様の対応が必要（Customer Action Required）」とも記されています。つまり、慌てる必要はないものの、更新は自分で確かめるべき脆弱性です。

出典：Microsoft セキュリティ更新プログラム ガイド「CVE-2026-83844 Windows Paint Remote Code Execution Vulnerability」

05更新のしかた（Microsoft Store）

Microsoftのガイドでは、この脆弱性の修正は「Store App（ストアアプリ）」のセキュリティ更新として配信され、修正版のビルド番号は11.2609.401.0です。Windows Updateで入る月例の更新とは別なので、Windows Updateが最新でもペイントが古いままのことがあります。

手動で更新を確認する

1. Microsoft Storeを開きます。
2. 「ダウンロード」またはライブラリから、更新プログラムを確認してインストールします。

自動更新が止まっていないか確認する

1. Microsoft Storeを開き、プロフィール画像を選んで「ストア設定」を開きます。
2. 「アプリの更新」で、一時停止になっていないか確認します。

Microsoft サポートによると、Microsoft Storeはアプリを自動で更新し、自動更新は最長5週間まで一時停止できます。一時停止のオプションが表示されない場合は、IT管理者がアプリの更新を管理している可能性があります。会社のパソコンは担当者に確認してください。

Windows本体の更新がうまくいかないときはWindows Updateが失敗するときの確認順も参考にしてください。

出典：Microsoft セキュリティ更新プログラム ガイド「CVE-2026-83844 Windows Paint Remote Code Execution Vulnerability」、Microsoft サポート「Microsoft Store でアプリやゲームの更新プログラムを入手する」、Microsoft Store「ペイント」（Microsoft Corporation）

06バージョンの確かめ方

ペイントのバージョンは、PowerShellで次のコマンドを実行すると表示されます（サインインしているユーザーの分）。

Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version

Versionが11.2609.401.0以上なら修正版です。The Hacker Newsは、ペイントはユーザーアカウントごとに入るため、複数人で使うパソコンでは管理者のPowerShellで全ユーザー分を確認する方法も紹介しています（会社のパソコン向け）。

注意：MicrosoftのガイドはCVE.orgの記録と同じく、影響を受けるのは11.2609.401.0未満としています。改訂前には11.2605.91.0を修正版とする情報もありましたが、今の基準は11.2609.401.0です。

出典：Microsoft セキュリティ更新プログラム ガイド「CVE-2026-83844 Windows Paint Remote Code Execution Vulnerability」、CVE.org「CVE-2026-83844」（Microsoftが登録したCVE記録、2026年11月7日更新）、The Hacker News「Microsoft Paint RCE Fix Now Available, but Windows Update Won’t Deliver It」（2026年11月6日）

07よくある質問