Bing Images: zwei SVG-Fallen, und ImageMagick führt SYSTEM-Code auf den Servern von Microsoft aus

CVE-2026-32194 und CVE-2026-32191, beide CVSS 9.8. Zwei Command Injections im Bing-Bildsuche-Pipeline: Ein einfaches SVG, dessen Bildattribut mit « | » beginnt, reicht aus, damit ImageMagick Server-Shell-Befehle von Microsoft ausführt. Entdeckt von der autonomen Startup XBOW, gepatcht im März 2026, heute veröffentlicht.

Die Fakten

Am 23. Juli 2026 veröffentlichte die Startup XBOW - eine Plattform für autonome offensive Sicherheit, die Schwachstellen im großen Stil mit offensiven KI-Agenten entdeckt - die Ausnutzungsmechanik von zwei kritischen Schwachstellen in Bing Images, der Infrastruktur für die umgekehrte Bildersuche von Microsoft:

• CVE-2026-32194 - Command Injection (CWE-77), CVSS 9.8.
• CVE-2026-32191 - OS Command Injection (CWE-78), CVSS 9.8.

Betroffene Komponente: die Backend-Worker von ImageMagick, die die über die umgekehrte Bildersuche auf Bing hochgeladenen Bilder verarbeiten. Microsoft hat dies serverseitig am 19. März 2026 gepatcht, ohne dass eine Aktion des Kunden erforderlich war.

Analyse - wie ein SVG eine entfernte Shell startet

Die Schwachstelle basiert auf den Delegates von ImageMagick, einem historischen Mechanismus, der es der Bibliothek ermöglicht, bestimmte Formate an externe Programme zu delegieren (ghostscript für PDF, ffmpeg für Video, curl für entfernte URLs). Das gefährliche Verhalten: Wenn ImageMagick auf eine Dateireferenz trifft, die mit dem Zeichen Pipe (|) beginnt, interpretiert es diese als Shell-Befehl, der ausgeführt werden soll, und nicht als Dateipfad.

Der Vektor von XBOW ist eine SVG-Datei, bei der ein Bildattribut (z. B. xlink:href bei einem <image>) mit | beginnt. Wird diese SVG-Datei an Bing zur umgekehrten Suche gesendet, wird sie von ImageMagick auf der Serverseite verarbeitet - das führt zur Ausführung des Befehls. Die Demonstration von XBOW führte einen ausgehenden curl-Befehl zu einer Infrastruktur durch, die vom Angreifer kontrolliert wurde: der Beweis für die Exfiltration von den Bing-Workern mit den SYSTEM-Berechtigungen des Prozesses.

Zur Erinnerung: ImageMagick ist die direkte Nachfolge der Klasse ImageTragick (2016, CVE-2016-3714), die denselben Delegate-Mechanismus ausnutzte - zehn Jahre später bleibt die Oberfläche in den Pipelines, die blind den hochgeladenen Dateien vertrauen, empfindlich.

Wer ist betroffen

• Microsoft direkt: die Bing Image Search-Worker - Patch wurde serverseitig im März 2026 angewendet.
• Endnutzer: keine Aktion erforderlich. Es wurden keine Kundendaten als exfiltriert identifiziert, und die Microsoft-Advisories geben an, dass „keine Ausnutzung erkannt wurde“ bei ihrer Veröffentlichung.
• Jede SaaS-Plattform, die Benutzeruploads mit ImageMagick ohne eine restriktive policy.xml-Konfiguration verarbeitet: Die Schwachstelle von XBOW erinnert daran, dass der Delegate-Mechanismus zehn Jahre nach ImageTragick immer noch gefährlich ist. Wenn Ihr Pipeline Benutzerbilder empfängt und sie durch IM/GraphicsMagick laufen lässt, ist es jetzt an der Zeit, dies zu überprüfen.

Was jetzt zu tun ist

1. Auditieren Sie Ihre /etc/ImageMagick-6/policy.xml (oder 7): Blockieren Sie explizit die sensiblen Coder (MSL, MVG, URL, HTTPS, HTTP, FTP, EPHEMERAL, TEXT, SHOW, WIN, PLT) mit <policy domain="coder" rights="none" pattern="…" />.
2. Lehnen Sie SVG-Uploads auf Anwendungsebene ab oder bereinigen Sie diese systematisch, bevor sie serverseitig verarbeitet werden - ein SVG ist XML, es kann mehr enthalten als nur ein Bild.
3. Isolieren Sie die ImageMagick-Worker in einem Sandbox (Namespace, seccomp, nicht-privilegierter Container).
4. Wenn Sie Bing Image Search über die API nutzen: Keine Aktion erforderlich, Microsoft hat serverseitig gepatcht.

Analyse - das Signal XBOW

XBOW ist ein junges Unternehmen, das einen Dienst für autonome offensive Sicherheit anbietet: Ihre KI-Agenten scannen kontinuierlich die Angriffsfläche von Kunden (und öffentlichen Zielen wie Bing) und erstellen Berichte über Schwachstellen. Zwei CVE 9.8 in der Bing-Infrastruktur zu finden und Microsoft vier Monate Zeit zum Patching zu geben, ist eine schöne Visitenkarte - und ein Signal dafür, dass AI-first offensive tools beginnen, CVE in einem anderen Tempo als traditionelle Red Teams zu generieren.