Bing Images: два SVG-ловушки, и ImageMagick выполняет SYSTEM-код на серверах Microsoft

CVE-2026-32194 и CVE-2026-32191, обе с CVSS 9.8. Две уязвимости command injection в конвейере поиска изображений Bing: достаточно простого SVG, у которого атрибут image начинается с «|», чтобы ImageMagick запустил команды shell на стороне сервера Microsoft. Обнаружено независимой стартап-компанией XBOW, исправлено в марте 2026 года, опубликовано сегодня.

Факты

23 июля 2026 года стартап XBOW — платформа автономной наступательной безопасности, обнаруживающая уязвимости в масштабе с помощью ИИ-агентов — опубликовал механику эксплуатации двух критических уязвимостей в Bing Images, инфраструктуре обратного поиска изображений от Microsoft:

• CVE-2026-32194 — Command Injection (CWE-77), CVSS 9.8.
• CVE-2026-32191 — OS Command Injection (CWE-78), CVSS 9.8.

Аффектированный компонент: бэкенд-воркеры ImageMagick, обрабатывающие изображения, загруженные через обратный поиск в Bing. Microsoft закрыл уязвимость на стороне сервера 19 марта 2026 года, не требуя никаких действий от клиентов.

Анализ — как SVG запускает удалённую оболочку

Уязвимость основана на делегатах ImageMagick — историческом механизме, позволяющем библиотеке передавать обработку определённых форматов внешним программам (ghostscript для PDF, ffmpeg для видео, curl для удалённых URL). Опасное поведение: когда ImageMagick встречает ссылку на файл, начинающуюся с символа конвейера (|), он интерпретирует её как команду оболочки, а не как путь к файлу.

Вектор атаки XBOW — это SVG-файл, в котором атрибут изображения (например, xlink:href у тега <image>) начинается с |. Отправленный в Bing для обратного поиска, этот SVG проходит через ImageMagick на стороне сервера — который, в свою очередь, выполняет команду. В демонстрации XBOW использовался curl, отправляющий запрос на инфраструктуру, контролируемую атакующим: доказательство возможности эксфильтрации данных с привилегиями SYSTEM процесса.

Напомним, что ImageMagick — это прямая наследница уязвимости ImageTragick (2016, CVE-2016-3714), эксплуатировавшей тот же механизм делегатов — десять лет спустя поверхность атаки остаётся уязвимой в пайплайнах, которые слепо доверяют загруженным файлам.

Кого это касается

• Microsoft напрямую: воркеры Bing Image Search — патч применён на стороне сервера в марте 2026 года.
• Конечные пользователи: никаких действий не требуется. Эксплуатация данных уязвимостей не была зафиксирована, а в advisory Microsoft указано «exploitation not detected» на момент публикации.
• Любые SaaS-платформы, обрабатывающие загрузки пользователей через ImageMagick без ограничивающей конфигурации policy.xml: уязвимость XBOW напоминает, что механизм делегатов остаётся опасным даже спустя десять лет после ImageTragick. Если ваш пайплайн принимает изображения от пользователей и обрабатывает их через IM/GraphicsMagick — самое время проверить настройки.

Что делать сейчас

1. Проведите аудит /etc/ImageMagick-6/policy.xml (или 7): явно заблокируйте уязвимые кодеры (MSL, MVG, URL, HTTPS, HTTP, FTP, EPHEMERAL, TEXT, SHOW, WIN, PLT) с помощью <policy domain="coder" rights="none" pattern="…" />.
2. Отклоняйте или очищайте загрузки SVG на уровне приложения до обработки на сервере — SVG — это XML, и он может содержать не только изображение.
3. Изолируйте воркеры ImageMagick в sandbox (namespaces, seccomp, непривилегированный контейнер).
4. Если вы используете Bing Image Search через API: никаких действий не требуется, Microsoft закрыл уязвимость на стороне сервера.

Анализ — сигнал XBOW

XBOW — молодая компания, продающая услугу автономной наступательной безопасности: их ИИ-агенты непрерывно сканируют поверхность атаки клиентов (и публичных целей, таких как Bing) и генерируют отчёты об уязвимостях. Обнаружение двух CVE с оценкой 9.8 в инфраструктуре Bing с четырёхмесячным эмбарго для исправления Microsoft — это отличная визитная карточка. Это также сигнал о том, что AI-ориентированные инструменты для наступательных атак начинают генерировать CVE с частотой, отличающейся от традиционных red team.