Le fondateur de Binance, Changpeng Zhao (CZ), a relayé aujourd’hui une alerte concernant une vulnérabilité de Windows Paint, CVE-2026-83844, et a appelé à mettre immédiatement à jour le système d’exploitation. Cette vulnérabilité affiche un score CVSS de 8,1. Dans un avis révisé le 6 novembre, Microsoft a indiqué que la version corrigée était désormais la 11.2609.401.0. Microsoft précise qu’elle n’est actuellement pas exploitée. （Contexte : SlowMist alerte sur le logiciel malveillant pour iPhone « DarkSword », désormais opérationnel : la simple ouverture d’une page Web peut entraîner le vol de phrases de récupération de cryptomonnaie） （Informations complémentaires : une faille vieille de dix ans sur les serveurs Linux révélée : une longue suite de caractères saisie dans le champ du mot de passe permet de se connecter ; un correctif est disponible） Résumé des points clés CZ a relayé le 7 novembre une alerte sur une vulnérabilité de Paint et appelé à mettre immédiatement le système à jour La vulnérabilité de Paint a un score CVSS de 8,1 ; l’attaque ne nécessite aucune intervention de l’utilisateur Paint doit être mis à jour vers la version 11.2609.401.0 pour que la faille soit entièrement corrigée Le 7 novembre à 15 h 19 (heure de Taïwan), le fondateur de Binance, Changpeng Zhao (CZ), a relayé sur X une alerte de cybersécurité. Celle-ci concernait une vulnérabilité d’exécution de code à distance dans Windows Paint (Microsoft Paint). Il a écrit : « Les applications ne peuvent pas vous protéger contre les vulnérabilités du système d’exploitation. Mettez immédiatement votre système d’exploitation à jour. » (Texte original : Apps can’t protect you from OS vulnerabilities. Update your OS immediately.) Apps can't protect you from OS vulnerabilities. Update your OS immediately. https://t.co/B7NisFEhQe — CZ BNB (@cz_binance) November 7, 2026 Le message relayé provenait du compte de cybersécurité Dark Web Informer, qui suit l’actualité de la cybercriminalité. Il avait été publié tôt le matin du 6 novembre, heure de Taïwan. Le message indiquait que la vulnérabilité, référencée CVE-2026-83844 et dotée d’un score CVSS de 8,1, affectait les versions antérieures à la 11.2605.91.0. Il précisait également qu’un attaquant non authentifié pouvait exécuter du code malveillant à distance sans aucune intervention de l’utilisateur. Avis révisé de Microsoft : la version corrigée passe à la 11.2609.401.0 Selon les données du Centre de réponse de sécurité Microsoft (MSRC), cette vulnérabilité a été publiée pour la première fois le 13 octobre (heure des États-Unis), jour des mises à jour de sécurité mensuelles habituelles de Microsoft. Il s’agit d’une lecture hors limites (CWE-125), c’est-à-dire que le programme lit des données en mémoire au-delà de la zone allouée. Le CVSS est un système d’évaluation des vulnérabilités utilisé dans l’industrie, sur une échelle de 10 points. Un score de 8,1 correspond à un niveau de risque « élevé ». Le MSRC a mis à jour son avis le 6 novembre (heure des États-Unis). Microsoft a indiqué que Paint devait être mis à jour vers la version 11.2609.401.0 pour corriger entièrement la vulnérabilité. L’enregistrement CVE a été modifié le même jour et indique désormais que toutes les versions antérieures à la 11.2609.401.0 sont concernées. La version 11.2605.91.0 mentionnée par Dark Web Informer est également incluse. Le seul canal de mise à jour indiqué par le MSRC est le Microsoft Store. Microsoft recommande aux utilisateurs d’installer la nouvelle version ou de vérifier que la mise à jour automatique est activée. Aucune intervention de l’utilisateur nécessaire ; la complexité de l’attaque est jugée élevée Le vecteur CVSS indique que cette vulnérabilité peut être exploitée via le réseau (AV:N). L’attaquant n’a besoin d’aucun privilège (PR:N) ni d’aucune intervention de l’utilisateur (UI:N). La foire aux questions du MSRC précise qu’un attaquant non authentifié peut envoyer des paquets spécialement conçus au service vulnérable via le réseau. Une exploitation réussie pourrait permettre à l’attaquant d’exécuter du code sur le système cible. La complexité de l’attaque est toutefois considérée comme « élevée » (AC:H). Le MSRC explique que l’attaquant doit avoir une connaissance approfondie du système cible et que le succès de l’attaque dépend également de l’environnement, de la configuration du système et d’autres mesures de protection. Microsoft a attribué à la vulnérabilité le niveau de gravité « important », inférieur d’un cran au niveau « critique » indiqué dans le titre de Dark Web Informer, et estime qu’elle est « moins susceptible d’être exploitée ». CZ appelle à plusieurs reprises à mettre les systèmes à jour Depuis le 5 novembre, CZ a rappelé au moins quatre fois sur X aux utilisateurs de mettre leur système à jour ou d’appliquer les correctifs. Le 5 novembre, il a relayé l’alerte de SlowMist sur le logiciel malveillant pour iPhone DarkSword, en écrivant : « Gardez votre iOS à jour. » (Keep your iOS up-to-date.) Le lendemain, il a ajouté : « Aucun logiciel de portefeuille ne peut mettre votre système d’exploitation à jour. L’autogarde implique d’être responsable de soi-même. » (No wallet software can update your OS. Self-custody means self responsibility.) Foire aux questions Quelles versions sont concernées par la vulnérabilité CVE-2026-83844 de Windows Paint ? Après la révision de l’avis de Microsoft le 6 novembre, toutes les versions de Paint antérieures à la 11.2609.401.0 sont considérées comme concernées, y compris la version 11.2605.91.0 précédemment mentionnée. La vulnérabilité CVE-2026-83844 de Paint a-t-elle déjà été exploitée par des pirates ? Pas à l’heure actuelle. Microsoft indique que cette vulnérabilité n’a pas été rendue publique et n’a pas été exploitée ; l’entreprise estime également qu’elle est moins susceptible de l’être. Son score CVSS est de 8,1. L’attaque ne nécessite aucune intervention de l’utilisateur, mais sa complexité est considérée comme élevée. Articles liés CZ : aucun portefeuille n’est sûr à 100 % ! Des vulnérabilités PHP et le piratage de Railway éclatent coup sur coup ; Binance réagit rapidement Un simple lancement de Safari sur iPhone suffit à se faire voler ! La faille DarkSword d’iOS pille des portefeuilles de cryptomonnaies ; CertiK alerte : mettez vite votre système à jour Une vulnérabilité d’exécution de code à distance dans le micrologiciel UEFI obtient un score CVSS de 9,5 ! Le micrologiciel de la plupart des serveurs dans le monde est touché» Cet article intitulé « CZ relaie une alerte sur une vulnérabilité de Windows Paint : les failles au niveau du système exigent une mise à jour immédiate » a d’abord été publié sur 動區BlockTempo (動區動趨-最具影響力的區塊鏈新聞媒體).