Bing Images: 2つのSVGトラップ、ImageMagickはMicrosoftのサーバー上でSYSTEMコードを実行

CVE-2026-32194 と CVE-2026-32191、どちらも CVSS 9.8。Bing 画像検索のパイプラインに 2 つのコマンドインジェクション。SVG の属性 image が「|」で始まるだけで、ImageMagick が Microsoft サーバー側でシェルコマンドを実行する。自律スタートアップの XBOW によって発見され、2026 年 3 月にパッチが適用され、今日公開された。

事実

2026年7月23日、XBOW（Microsoftの逆画像検索インフラであるBing Imagesに2つの重大な脆弱性の悪用メカニズムを公開した自律型攻撃型セキュリティプラットフォーム）は、以下の脆弱性を公開しました：

• CVE-2026-32194 - コマンドインジェクション（CWE-77）、CVSS 9.8。
• CVE-2026-32191 - OSコマンドインジェクション（CWE-78）、CVSS 9.8。

影響を受けたコンポーネント：ImageMagickのバックエンドワーカーが、Bingの逆画像検索で送信された画像を処理します。Microsoftは2026年3月19日にサーバーサイドでパッチを適用し、クライアント側でのアクションは不要でした。

分析 - 如何にSVGがリモートシェルを起動するか

この脆弱性は、ImageMagickのdelegatesに依存しています。これは、ライブラリが特定の形式を外部プログラム（PDFの場合はghostscript、動画の場合はffmpeg、リモートURLの場合はcurl）に委任する歴史的なメカニズムです。危険な動作は、ImageMagickがファイル参照がパイプ文字（|）で始まる場合、それをファイルパスではなくシェルコマンドとして解釈することです。

XBOWのベクトルは、SVGファイルで、画像属性（例：<image>のxlink:href）が|で始まります。このSVGをBingの逆画像検索に送信すると、サーバーサイドのImageMagickが処理し、コマンドを実行します。XBOWのデモンストレーションでは、攻撃者が制御するインフラに対してcurlを実行し、BingのワーカーからプロセスのSYSTEM権限でデータをエクスフィルトレーションすることを証明しました。

なお、ImageMagickはImageTragick（2016年、CVE-2016-3714）クラスの直接の系統であり、同じdelegateメカニズムを悪用していました。10年後も、アップロードされたファイルを盲目的に信頼するパイプラインでは、依然として脆弱性が残っています。

影響を受ける人

• Microsoft直接：Bing Image Searchワーカー - 2026年3月にサーバーサイドでパッチが適用されました。
• 最終ユーザー：アクションは不要。クライアントデータがエクスフィルトレーションされたことは確認されておらず、Microsoftのアドバイザリでは「悪用が検出されていない」と記載されています。
• ImageMagickを使用してユーザーアップロードを処理するすべてのSaaSプラットフォーム（制限的なpolicy.xml設定なし）：XBOWの脆弱性は、ImageTragickから10年後もdelegateメカニズムが依然として危険であることを思い出させます。ユーザー画像を受け取り、ImageMagick/GraphicsMagickで処理する場合は、今が確認する時です。

今すぐ行うべきこと

1. /etc/ImageMagick-6/policy.xml（または7）を監査：感受性の高いコーダー（MSL、MVG、URL、HTTPS、HTTP、FTP、EPHEMERAL、TEXT、SHOW、WIN、PLT）を明示的にブロックします。<policy domain="coder" rights="none" pattern="…" />を使用します。
2. サーバーサイド処理前に、アプリケーション側でSVGアップロードを拒否またはクリーンアップします。SVGはXMLであり、画像以上のものを含む可能性があります。
3. ImageMagickワーカーをサンドボックス（名前空間、seccomp、非特権コンテナ）に分離します。
4. APIを介してBing Image Searchを利用している場合：アクションは不要。Microsoftはサーバーサイドでパッチを適用しました。

分析 - XBOWのシグナル

XBOWは、自律型攻撃型セキュリティサービスを提供する新興企業です。彼らのAIエージェントは、クライアント（およびBingのような公開対象）の攻撃面を継続的にスキャンし、脆弱性レポートを提供します。Bingインフラで2つのCVE 9.8を発見し、Microsoftがパッチを適用できるように4ヶ月のエムバーゴを設定したことは、印象的な名刺であり、AIファーストの攻撃ツールが従来のレッドチームよりも異なるペースでCVEを生成し始めていることを示すシグナルです。