Bing Images: dois SVGs armadilhados, e o ImageMagick executa código SYSTEM nos servidores da Microsoft

CVE-2026-32194 e CVE-2026-32191, ambas com pontuação CVSS 9.8. Duas injeções de comando no pipeline de busca de imagens do Bing: um simples SVG cujo atributo de imagem começa com « | » é suficiente para que o ImageMagick execute comandos shell no lado do servidor da Microsoft. Descoberto pela startup autônoma XBOW, corrigido em março de 2026, publicado hoje.

Os fatos

Em 23 de julho de 2026, a startup XBOW — uma plataforma de segurança ofensiva autônoma que descobre vulnerabilidades em escala com agentes de IA ofensivos — publicou a mecânica de exploração de duas vulnerabilidades críticas no Bing Images, a infraestrutura de busca reversa de imagens da Microsoft:

• CVE-2026-32194 - Command Injection (CWE-77), CVSS 9.8.
• CVE-2026-32191 - OS Command Injection (CWE-78), CVSS 9.8.

Componente afetado: os workers backend do ImageMagick que processam as imagens enviadas via busca reversa de imagens no Bing. A Microsoft corrigiu lado servidor em 19 de março de 2026, sem exigir nenhuma ação do cliente.

Análise - como um SVG acende um shell remoto

A vulnerabilidade baseia-se nos delegates do ImageMagick, esse mecanismo histórico que permite à biblioteca delegar certos formatos a programas externos (ghostscript para PDF, ffmpeg para vídeo, curl para URL remota). O comportamento perigoso: quando o ImageMagick encontra uma referência de arquivo começando com o caractere pipe (|), ele a interpreta como um comando shell a ser executado, não como um caminho de arquivo.

O vetor da XBOW é um arquivo SVG cujo atributo de imagem (por exemplo, xlink:href em um <image>) começa com |. Enviado ao Bing para busca reversa, esse SVG passa pela máquina do ImageMagick lado servidor — que obedece e executa o comando. A demonstração da XBOW fazia um curl saindo para uma infraestrutura controlada pelo atacante: a prova de exfiltração dos workers do Bing com os privilégios SYSTEM do processo.

Para relembrar, o ImageMagick é a linhagem direta da classe ImageTragick (2016, CVE-2016-3714), que explorava o mesmo mecanismo delegate — dez anos depois, a superfície permanece sensível em pipelines que confiam cegamente em arquivos enviados.

Quem é impactado

• Microsoft diretamente: os workers do Bing Image Search — patch aplicado lado servidor em março de 2026.
• Usuários finais: nenhuma ação necessária. Nenhum dado do cliente foi identificado como exfiltrado, e os advisories da Microsoft indicam « exploitation not detected » na publicação.
• Toda plataforma SaaS que processa uploads de usuários com ImageMagick sem configuração policy.xml restritiva: a vulnerabilidade XBOW lembra que o mecanismo delegate continua perigoso dez anos após o ImageTragick. Se seu pipeline recebe imagens de usuários e as passa pelo IM/GraphicsMagick, é hora de verificar.

O que fazer agora

1. Audite seu /etc/ImageMagick-6/policy.xml (ou 7): bloqueie explicitamente os coders sensíveis (MSL, MVG, URL, HTTPS, HTTP, FTP, EPHEMERAL, TEXT, SHOW, WIN, PLT) com <policy domain="coder" rights="none" pattern="…" />.
2. Recuse ou limpe sistematicamente os uploads SVG lado aplicação antes de qualquer processamento server-side — um SVG é XML, pode embarcar muito mais que uma imagem.
3. Isole os workers do ImageMagick em sandbox (namespace, seccomp, container não-privilegiado).
4. Se consome o Bing Image Search via API: nenhuma ação, a Microsoft corrigiu lado servidor.

Análise - o sinal XBOW

XBOW é uma jovem empresa que vende um serviço de segurança ofensiva autônoma: seus agentes de IA escaneiam continuamente a superfície de ataque de clientes (e de alvos públicos como o Bing) e geram relatórios de vulnerabilidades. Encontrar duas CVEs 9.8 na infraestrutura do Bing, trazendo um embargo de quatro meses para deixar a Microsoft corrigir, é um belo cartão de visita — e um sinal de que as ferramentas ofensivas baseadas em IA começam a gerar CVEs em um ritmo diferente das red teams tradicionais.