【注意喚起】「自動更新にしてるから安心」だった人のペイントに、8.1点の穴が空いた。届くはずの修正版は、どこにもなかった
【朗報？】「自動更新マジック」は効かなかった——Windows標準のペイントに見つかった「8.1点」の穴と、届かなかった修正版の行方
Windows 11に標準搭載のお絵描きアプリ「ペイント」に、Microsoft自身が「第三者によるプログラム実行（乗っ取り）につながり得る」と評価した脆弱性が見つかった。公表は2026年10月13日。深刻度は10点満点中8.1と高評価だが、より多くのユーザーを戸惑わせたのは別の大ごとだった。修正版が公表当日に配布されたはずなのに、アプリの自動更新をオンにしていた人のPCでもペイントが古いバージョンのまま放置されていたのだ。
「お絵描きアプリでPCが乗っ取れる」は本当か
まず恐怖の正体を整理する。Microsoftの脆弱性情報（CVE-2026-83844）によれば、この不具合は「範囲外の読み取り（Out-of-bounds Read）」に分類される。プログラムが本来読んでよいメモリ領域を超えてデータを読んでしまう型で、 Microsoftの説明では、細工されたデータをネットワーク越しに送りつけられるだけで悪用され得る、とされている。攻撃に特別な権限は不要で、ユーザーが何かをクリックする必要もない、という評価だ。情報漏えい・改ざん・サービス停止への影響はいずれも「高」。深刻度スコアは8.1、Microsoftの重要度区分では最上位「緊急」に次ぐ2番目の「重要」相当に位置づけられている。
一方で、落ち着いてよい材料も同じくらい明確だ。攻撃の複雑さ（Complexity）は「高」と評価されており、成功させるには対象システムへの深い理解が必要で、それでも成功の保証はないとされる。現時点で悪用されたという報告はなく、攻撃に使用されたプログラムも確認されていない。そして何より、「お絵かきアプリに、ネットワークからデータを受け取る入口がどこにあるのか」自体がMicrosoftからも明らかにされていない。攻撃経路が特定されていない以上、家庭のPCが狙われる条件が揃うかも分かっていないのだ。「理屈の上ではあり得るが、現実にはとても難しい」。現時点の正しい評価はそこに尽きる。
本当の問題は「自動更新したのに直っていなかった」
今回の一件で最も多くの人を混乱させたのは、修正版の「配送事故」だ。原因は二段構造になっている。
第一に、ペイントはMicrosoft Store経由で更新される「ストアアプリ」であること。Windows UpdateはOS本体の更新であり、ストアアプリの更新とは別系統だ。「Windows Updateを自動にしていれば全部直っている」という思い込みが、ここで見事に崩れる。実際、メモ帳やスクリーンショット（スニッピングツール）など、同じストア配達のアプリでも過去に脆弱性が見つかり、ストア側の緊急更新で修正された例がある。今年2月のメモ帳の穴（文書内のリンクから外部プログラムが動き得る問題。悪用例はなし）も、2023年のスニッピングツールの問題も、Windows Updateだけでは直らない部類のものだった。
第二に、ストアに正しい修正版がなかなか出てこなかったこと。10月13日の公表時にMicrosoftが示していた修正版のバージョン番号は、後になって変更されている。10月30日には、企業向けサポートの場で「その番号の修正版がストアのどこにも見つからない」とシステム管理者から質問が殺到した経緯がある。修正版の版号が途中で変わったことが、管理者たちの混乱に追い打ちをかけた形だ。
自分のPCは大丈夫か——「表示」ではなく「数字」を見る
対策は単純だが、一工夫必要だ。確認の手順は以下の通り。
- スタートメニューで「PowerShell」と検索して開く（管理者権限は不要）
- 次の1行を貼り付けてEnterを押す
Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version - 表示されたVersionが11.2609.401.0以上なら修正済み。古い場合はMicrosoft Storeを開いてペイントを更新する
PowerShellが苦手な人は、ペイント右上の歯車から設定を開き、バージョン情報を見る方法でも確認できる。ここで注意したいのが「ストアを開いたら『最新です』と出たから安心」という判断の危うさだ。配信のタイミングによっては最新表示でも旧版が残るケースが実際にあったため、メディア各誌も「表示より数字。最後は自分の目で行番号を見る」ことを推奨している。ストアに更新が出てこない場合は、少し時間を置いて再確認するのが正解だ。
企業のPCを使っている人は、もう一点頭に入れておきたい。一部の企業向けセキュリティソフトが、修正前のペイントに対して警告を出すようになっているという点だ。仕事中に突然警告が出ても慌てず、IT管理者に相談してほしい。なお、公式の記録で対象とされているのはWindows 11のストア版ペイントで、Windows 10のペイントが対象外だと明言した文書は見つかっていない。気になる人は同じ手順でバージョンを確認し、ストアに更新があれば当てておこう。
ネットの反応
一番多くて一番支持されていたのは「なぜお絵かきソフトにネットにつながる部分があるのか」という声でした
コパイロットなどのAIの機能やアカウントのサインインを詰め込んだせいじゃないかという声も。あれもこれも足してお絵かきアプリが大きくなりすぎた
昔のペイントやWindows10のペイントの方が安全で、古いのを使い続けてよかったという声。古い方が強いなんて意外だ
使わないならペイントを消せばいい。もう消した。じゃあ私の似顔絵はどこで描けばいいのだ
AIの所感
この事件の教訓は「自動更新」という四文字が抱える危うさに集約される。OSの更新とストアアプリの更新が別系統であることは知識としては知られていたが、実際に「直したはずなのに直っていない」状態が数百万台規模で発生して初めて、多くの人が自分のPCの「全部自動」が実は一部自動でしかなかったと気づかされた。脆弱性そのものの怖さより、修正の配送経路の複雑さの方が現実のリスクだったわけだ。深刻度8.1という数字に怯えるより、年2回でもPowerShellの1行を打ってバージョンの数字を自分の目で確認する習慣のほうが、ずっと実用的な防御になる。アプリが「お絵描きソフト」の範疇を超えてAI機能やアカウント連携を詰め込み続ける限り、ペイントのような穴はまた出てくる。そのとき「表示を信じる人」と「数字を見る人」で、結果ははっきり分かれるだろう。