Windows 11の標準画像編集アプリ「ペイント（Microsoft Paint）」に、コード実行につながる脆弱性CVE-2026-83844が公表されています。2026年11月8日（日本時間）に反映されたMicrosoft登録のCVE記録では、CVSS v3.1が従来の8.1から7.0へ、攻撃経路はネットワーク（AV:N）からローカル（AV:L）へ、利用者操作は不要（UI:N）から必要（UI:R）へ修正されました。Windows Updateが「最新」でも、ペイント自体は古いままの可能性がある点は変わりません。
この問題の修正はMicrosoft Store経由のペイントのアプリ更新で提供されます。Microsoftが公開している修正済みの目安は11.2609.401.0以上。Storeの自動更新が適用済みなら手動操作は不要ですが、まず現在のバージョンを確認してください。
先に結論：ペイントを起動 → 右上の歯車（設定）でバージョンを確認 → 11.2609.401.0未満ならMicrosoft Storeの「ダウンロード」または「ライブラリ」から更新 → もう一度ペイントで確認。
※2026年11月9日更新。Microsoft登録CVE記録の11月7日（UTC）更新を反映。修正済みのバージョン条件は11.2609.401.0以上で変わりません。
すぐに確認したい方：①バージョンの確認 ／ ②更新手順 ／ ③更新できない場合 ／ ④情シス担当者向け
ペイントの脆弱性とは？自分のPCは対象？
| 確認項目 | 公表情報 |
|---|---|
| 脆弱性番号 | CVE-2026-83844 |
| 公表日 | 2026年10月13日（米国時間） |
| 対象製品 | Microsoft Paint（Windows 11のペイントアプリ） |
| 影響するバージョン | 11.0.0.0以上、11.2609.401.0未満（MicrosoftのCVE記録） |
| 修正済みバージョン | 11.2609.401.0以上 |
| 深刻度 | Important（重要）／CVSS v3.1 7.0（High）。従来の8.1から変更（2026年11月7日UTC更新） |
| 原因の分類 | CWE-125（境界外読み取り） |
| 攻撃条件（更新後） | ローカル（AV:L）、利用者操作が必要（UI:R）、事前の権限不要（PR:N）、攻撃の複雑性は高い（AC:H） |
| 更新の提供経路 | Microsoft Store（自動更新または手動で更新確認） |
Windows 11を使っている全員が直ちに危険という意味ではありません。ペイントが導入されており、修正前のバージョンが残っているかを確認することが重要です。ペイント未導入の環境には、ペイントアプリそのものの更新作業は必要ありません。Windows 10の旧来のペイントについては、このCVEの影響範囲として同じように列挙されていません。
なお、初期の案内では修正バージョンの表示が異なり、11月上旬にはMicrosoft Storeで古い版しか見つからないとの報告もありました。Microsoft登録CVE記録は2026年11月7日23時26分（UTC、日本時間11月8日8時26分）に更新され、修正の境界が11.2609.401.0と示されています。さらにCVSSと攻撃条件も修正されています。過去に更新した覚えがある人も、バージョンを再確認すると確実です。
【1分で確認】ペイントのバージョンを見る方法
- Windows 11でスタートメニューを開き、「ペイント」を検索して起動する。
- ウィンドウ右上の歯車アイコン（設定）を開く。
- 「ペイントについて」などに表示されるバージョン番号を確認する。
- 11.2609.401.0以上なら今回の脆弱性に対する修正版の条件を満たす。古い場合は次の手順へ進む。
画面構成や文言はアプリの版によって異なる場合があります。見つけられない場合は、後述のPowerShellによる確認方法も利用できます。
Windows UpdateではなくMicrosoft Storeで更新する手順
Windows Updateは主にWindows本体の更新を管理します。一方、今回のペイントはMicrosoft Storeで配信されるアプリとして更新されるため、Windowsの累積更新だけで修正されたと判断しないでください。
| 更新経路 | 今回のペイントの修正 |
|---|---|
| Windows Update | Windows本体の更新はできるが、ペイントの修正版が入ったかは保証しない |
| Microsoft Store | ペイントの更新を取得する経路。自動更新で適用される場合もある |
手動で更新を確認する
- スタートメニューからMicrosoft Storeを開く。
- 画面の「ダウンロード」または「ライブラリ」を開く（表示名はStoreのバージョンで変わる）。
- 「更新プログラムの確認」を押し、利用可能な更新を取得する。
- 一覧にペイント（Paint）が表示されたら更新を実行する。表示されなくても、すでに更新済みの可能性がある。
- ペイントをいったん終了し、再起動して設定画面のバージョンが11.2609.401.0以上か確認する。
公式の案内：Microsoft Storeでアプリやゲームの更新プログラムを入手する（Microsoft）。ペイントの製品ページはMicrosoft Storeのペイントです。
Storeの自動更新が有効なら？
Microsoft Storeはアプリを自動更新します。このため全ユーザーが手動でアップデートする必要があるわけではありません。Microsoft Storeのプロフィールアイコン → 「ストア設定」などから、アプリの更新が一時停止されていないかを確認できます。組織PCでは管理者のポリシーが優先される場合があります。
「ペイントをアップデートできない」「更新が出てこない」場合
更新ボタンが見えない、Storeには「最新」と表示されるのにペイントのバージョンが古い、といった場合は次の順に確認してください。「Storeで最新と表示された」だけでは修正済みとは判断しないことがポイントです。
- ペイントを終了してStoreで更新確認をやり直す：更新の反映待ちやアプリ使用中の可能性を切り分ける。
- Storeの自動更新・一時停止を確認する：Microsoft Storeの設定を確認し、必要なら手動更新を実行する。
- PCを再起動してバージョンを確認する：更新が適用されているか、ペイントの設定画面で判断する。
- Store自体が開かないとき：Windowsキー＋Rで「ファイル名を指定して実行」を開き、
wsreset.exeを実行してStoreのキャッシュをリセットする。これはMicrosoft公式が案内する対処法。 - 職場のPCで更新できないとき：Store利用制限やアプリ配布方式が関係する場合があるため、自己判断で制限を解除せず、情シス担当者へ確認を依頼する。
2026年11月5～6日には、修正版が地域や環境によって見つからなかったという報告がありました。一方、11月6日のセキュリティ報道では複数の国で修正版の提供を確認しています。日本のすべてのPCへ同時に配信されたことまでは独自に確認できていません。更新が表示されない場合は、時間をおいて再確認し、修正済みと判断する前に実際のバージョンを確認してください。
Storeのトラブル対処はMicrosoft Storeが開かない（Microsoft）も参照できます。非公式サイトのMSIX/Appxファイルを安易にダウンロードしてインストールする方法は推奨しません。
境界外読み取りとは？更新された攻撃条件と注意点
Microsoftは原因をCWE-125（Out-of-bounds Read：境界外読み取り）に分類しています。プログラムが確保されたメモリの範囲を超えてデータを読み取ってしまう不具合です。通常見えるはずのないメモリ情報が参照されると、別の不具合や攻撃条件と組み合わさり、セキュリティ上の影響が広がることがあります。
Microsoftが登録した公式CVE記録では、この問題をコード実行の脆弱性としていますが、11月7日（UTC）の更新で攻撃経路がローカル（AV:L）、利用者操作が必要（UI:R）に修正されました。CVSS v3.1は7.0（High）で、事前の権限は不要（PR:N）、攻撃の複雑性は高い（AC:H）とされています。以前の「ネットワーク経由・利用者操作不要・CVSS 8.1」は現在のMicrosoft登録CVE記録と一致しません。
ただし、ペイントがどの通信を受け取り、どの処理を通じて脆弱性が悪用されるのかという詳しい攻撃経路は、参照した公式CVE記録からは判明しません。「画像を開くだけで必ず感染する」「インターネット接続中なら即座に攻撃される」と断定する根拠はありません。
公開時のMicrosoftの評価は「悪用される可能性は低い（Exploitation Less Likely）」で、CISAが付与した2026年10月13日時点のSSVC情報も悪用の観測を「none」としています。リスクを過小評価する必要はありませんが、悪用済みと誤解する必要もありません。
情シス担当者向け：PowerShellで端末・ユーザーごとの版を確認
共有PCや複数ユーザーが利用する端末では、あるアカウントだけ更新されていて、別のプロファイルに古いパッケージが残る場合があります。Windows Updateの適用状況だけではなく、アプリパッケージのバージョンを確認してください。以下はMicrosoftのAppxコマンドレットを使用する読み取り専用の確認操作です。
ログイン中のユーザーのペイントを確認
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version結果の「Version」が11.2609.401.0以上か確認します。何も出ない場合は、現在のユーザーに対象パッケージが登録されていない可能性があります。
すべてのユーザープロファイルを確認
PowerShellを管理者として実行してから、次のコマンドで確認します。
Get-AppxPackage -AllUsers -Name Microsoft.Paint | Select-Object Name, Version, PackageUserInformation表示されたパッケージのバージョンと利用者情報を確認してください。複数プロファイルがある場合、旧版が残っていないかを見ることが重要です。
新規ユーザー向けにプロビジョニングされたアプリも確認
Get-AppxProvisionedPackage -Online | Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object DisplayName, Versionこの結果は現在ログイン中のユーザーにインストールされたアプリとは別です。企業内で大量展開する場合は、Intune等によるStoreアプリ更新の配布・検出と合わせて確認します。旧版パッケージの一括削除は、影響と配布方式を確認しないまま実行しないでください。
参考：Get-AppxPackage（Microsoft Learn）、最新アプリでも脆弱と判定される場合の確認（Microsoft Learn）。
よくある質問（FAQ）
Q. Windows Updateで2026年10月の更新を適用済みなら安全ですか？
それだけでは判断できません。今回の修正はMicrosoft Storeのペイントアプリ更新として提供されます。ペイントのバージョンを直接確認してください。
Q. Microsoft Storeで「最新」と表示されれば問題ありませんか？
最終判断はペイントの11.2609.401.0以上という実際のバージョンです。配信タイミングなどによって、Store側にまだ更新が表示されない場合があります。
Q. ペイントを普段使わない場合も更新すべきですか？
対象のペイントがインストールされているなら、利用頻度に関係なく修正版への更新をおすすめします。企業PCで不要なアプリを削除する場合は、管理ポリシーや他のユーザーへの影響を確認してください。
Q. ネットに接続しただけで攻撃されるのですか？
ネットに接続しただけで攻撃が成立すると示されたものではありません。更新後のMicrosoft登録CVE記録では攻撃経路がローカル（AV:L）で、利用者操作が必要（UI:R）とされています。具体的に何を操作すると成立するかは公表情報だけでは特定できません。引き続き修正版への更新が必要です。
Q. 11.2609.401.0より新しいバージョンでも大丈夫？
はい。今回のCVEでMicrosoftが示す修正済みの境界は11.2609.401.0です。それより新しいバージョンも、このCVEの修正対象条件を満たします。
まとめ：Windows Updateとは別に「ペイント」の更新状況を確認
今回の盲点は、Windows本体の更新とMicrosoft Storeアプリの更新が別々に管理されることです。個人ユーザーはペイントの設定からバージョンを確認し、古ければStoreの更新を試してください。企業の管理者は、各ユーザーのアプリ更新とプロビジョニング済みパッケージの版を確認すると、見落としを減らせます。
手順はシンプルです。「ペイントを開く → バージョンを調べる → Storeから更新する → 再確認する」。これで、Windows Update済みという表示だけに頼らず、実際に修正されているかを確認できます。
一次情報・参考資料と更新履歴
- Microsoft Security Response Center：CVE-2026-83844
- CVE Project：Microsoft登録の公式CVE JSON記録（2026年11月7日UTC更新）
- Microsoftサポート：Storeアプリの更新方法
- Microsoftサポート：アプリの自動更新
- The Hacker News（2026年11月6日）：修正版のStore配信状況
記事初版：2026年11月7日（日本時間）。更新：2026年11月9日。Microsoft登録CVE記録の11月7日UTC更新を反映し、CVSSを8.1→7.0、攻撃経路をネットワーク→ローカル、利用者操作を不要→必要に訂正。修正版11.2609.401.0以上の条件は変更なし。実機での更新成功や日本国内すべての端末への配信完了を検証した記事ではありません。
