¿Tu escáner de seguridad sigue marcando Paint 3D, Print 3D o 3D Builder como vulnerables aunque creas haber actualizado Windows? En esta guía aprenderás a desinstalar o actualizar estas aplicaciones UWP de forma limpia con PowerShell y a validar la remediación paso a paso.
Vulnerabilidades en Paint 3D
Problema
Los motores de evaluación de múltiples fabricantes (Nessus, Qualys, Rapid7, entre otros) catalogan la versión 6.1907.29027.0 de Paint 3D como susceptible de escaladas de privilegios y de ejecución remota de código (RCE). El parche mínimo requerido es la 6.2305.16087.0, pero en muchos entornos corporativos la Microsoft Store está deshabilitada o simplemente no ofrece el parche a tiempo. Para complicarlo todo, el proceso de “desinstalación” conservador de Microsoft deja residuos dentro de C:\Program Files\WindowsApps, de modo que el escáner vuelve a detectar el binario obsoleto.
Soluciones aplicadas y propuestas
Desinstalación completa con PowerShell
Get-AppxPackage Microsoft.MSPaint -AllUsers | Remove-AppxPackage -AllUsersEjecuta el comando hasta que no se devuelva ninguna fila. Si existen varios PackageFamilyName se eliminarán en cascada.
Actualización con paquete APPX verificado
Cuando la Store esté bloqueada por GPO, distribuye internamente la versión 6.2408.2027.0 o superior. Antes de desplegar:
- Valida la firma digital con
Get-AuthenticodeSignature. - Calcula los hashes
MD5 / SHA‑1 / SHA‑256y compáralos con el repositorio oficial. - Analiza el archivo con tu antivirus corporativo en modo offline.
Instalación silenciosa:
Add-AppxPackage .\Paint3D6.2408.2027.0x64.appxInstalación de dependencias faltantes
Add-AppxPackage Microsoft.VCLibs.140.0014.0.33519.0x648wekyb3d8bbwe.appx
Add-AppxPackage Microsoft.UI.Xaml.2.02.1810.18004.0x648wekyb3d8bbwe.appxEstas bibliotecas son indispensables para que la aplicación no finalice con el error 0x80073CF3 (package dependencies).
Verificación final
Tras reiniciar el equipo, ejecuta de nuevo tu escáner o un inventario manual con:
Get-AppxPackage Microsoft.MSPaint -AllUsersSi la salida es nula o muestra la versión nueva, la vulnerabilidad queda mitigada.
Vulnerabilidades en Print 3D
Problema
Las revisiones ≤ 3.3.311.0 abren la puerta a RCE mediante manipulación de ficheros 3MF maliciosos. Microsoft ha dejado de actualizar oficialmente Print 3D, sustituyéndolo por 3D Builder, por lo que el riesgo persiste en entornos legacy.
Solución recomendada: desinstalación total
Get-AppxPackage Print3D -AllUsers | Remove-AppxPackage -AllUsersConfirma la desaparición de cualquier subcarpeta Microsoft.Print3D* dentro de WindowsApps.
Alternativa de mitigación
Si tu flujo de trabajo necesita visualizar u optimizar modelos antes de imprimir:
- Instala Microsoft 3D Builder 3.3.791 o superior desde la Store.
- Habilita el sandbox “Desktop App Web Viewer” para abrir los enlaces 3MF en Edge securizado.
- Restringe la importación de modelos externos con AppLocker o WDAC.
Vulnerabilidades en 3D Builder
Problema
Los boletines de seguridad internos de varios fabricantes alertan de RCE en archivos .3mf, .obj y .ply procesados por 3D Builder. Versiones ≤ 18.0.1931.0 disparan falsos positivos continuos porque los escáneres detectan claves de registro y carpetas huérfanas incluso después de usar “Desinstalar” en Configuración.
Solución paso a paso
Eliminar el paquete para todos los perfiles
Get-AppxPackage 3dbuilder -AllUsers | Remove-AppxPackage -AllUsersVerificar eliminación y restos en disco
Get-AppxPackage 3dbuilder -AllUsers # sin salida es exitoso
Dir "C:\Program Files\WindowsApps\Microsoft.3DBuilder*" /aSi quedan residuos:
- Toma posesión de la carpeta:
takeown /F <path> /A /R /D Y - Concede permisos:
icacls <path> /grant Administrators:F /T - Elimina manualmente.
Reanálisis
Reinicia el sistema y repite el escaneo para validar la remediación.
Buenas prácticas generales
| Paso | Descripción |
|---|---|
| Inventario | Ejecuta Get-AppxPackage -AllUsers con comodines (Paint3D, 3dbuilder, etc.) para listar versiones instaladas y su PackageFamilyName. |
| Desinstalación limpia | Repite Remove-AppxPackage hasta que la salida sea vacía; después, borra carpetas residuales si fuese necesario. |
| Verificación | Reinicia Windows y ejecuta nuevamente el escáner. Algunos motores basados en firmas precisan una segunda pasada para refrescar la base de datos local. |
| Actualizaciones seguras | Prefiere siempre la Microsoft Store. Si utilizas paquetes APPX externos, comprueba la firma y los hashes, y somételos a antivirus. |
| Dependencias | Instala previamente Microsoft.VCLibs y Microsoft.UI.Xaml apropiados para evitar el error 0x80073CF3. |
Procedimiento de validación posterior
En redes con endpoint detection & response (EDR) es habitual que los indicadores de compromiso persistan hasta que el agente recalcule su caché. Para acelerar el proceso:
- Forza un scan cycle desde la consola del EDR (en Microsoft Defender → Collect Investigation Package).
- Revisa los eventos
Microsoft-Windows-AppModel-Runtime/Adminen el Visor de eventos para detectar intentos de carga de versiones obsoletas. - Ejecuta
Get-WinEventfiltrando por los PackageFullName nuevos y antiguos para comprobar que solo se referencian las versiones parcheadas.
Gestión de falsos positivos
Si el motor de análisis continúa alertando pese a la desinstalación, revisa:
- Rutas residuales en
C:\Users<User>\AppData\Local\Packagesy enHKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore. - Tareas programadas o directivas de inicio que relancen el instalador antiguo.
- Copias locales de APPX en repositorios SCCM o Intune que re‑introduzcan la versión vulnerable.
Preguntas frecuentes
¿Por qué mi organización bloquea la Microsoft Store?
Los entornos regulados (finanzas, salud o defensa) restringen la Store para evitar la instalación de software no verificado y para controlar el ancho de banda. Esto facilita la estandarización, pero complica la instalación de parches UWP.
¿Puedo deshabilitar la funcionalidad 3D por completo?
Sí. A partir de Windows 10 20H2 y todas las versiones de Windows 11, las apps 3D no son componentes esenciales. Eliminar Paint 3D, Print 3D y 3D Builder no afecta el pipeline de impresión 2D ni los controladores de la GPU.
¿Qué alternativas recomienda Microsoft?
Microsoft sugiere migrar a Microsoft Designer para edición ligera de imágenes y a soluciones de terceros para impresión 3D industrial. Para flujos básicos, 3D Builder actualizado sigue siendo suficiente.
¿Estos pasos funcionan en Windows Server?
En Windows Server 2019/2022 con experiencia de escritorio, los paquetes UWP se gestionan del mismo modo. Asegúrate de ejecutar PowerShell como TrustedInstaller si encuentras errores de acceso denegado.
Conclusión
Eliminar o actualizar a mano las aplicaciones 3D de Microsoft puede parecer un reto, pero con los comandos correctos de PowerShell y una política de verificación rigurosa es posible cerrar los hallazgos de vulnerabilidad en minutos. Mantén un inventario actualizado, automatiza la firma de APPX y realiza escaneos periódicos para asegurar que tu entorno permanece libre de versiones obsoletas.