CVE-2026-32194
CVSS 9.8 CRITICAL: improper neutralization of special elements used in a command ('command injection') in Microsoft Bing Images allows… EPSS 1% (63º percentile).
Vulnerabilità ed exploit · Attacco ad app web
Un converter non dovrebbe mai trattare un’immagine come una fonte di comandi. Qui il varco è stato proprio quello: un SVG controllato dall’esterno è passato nel tier di elaborazione e ha fatto eseguire codice con l’identità del worker, quindi come SYSTEM su Windows e come root su Linux. Il problema non è il browser, ma il backend che conserva privilegi elevati mentre analizza contenuti non fidati.
Microsoft ha corretto due flaw lato server, CVE-2026-32194 e CVE-2026-32191, sui worker di image processing usati da Bing Images. Le prove pubbliche arrivano dopo la remediation: XBOW ha mostrato che lo stesso schema colpiva host e reti diverse della stessa flotta, segno che la falla stava nel percorso di conversione e non in una singola macchina.
Per chi gestisce pipeline di upload o conversione immagini, il punto resta generale: se contenuti controllati dall’utente possono ancora raggiungere un delegate abilitato, il servizio di rendering può diventare un punto di compromissione server-side ad alto privilegio.
1 fonte · 24 lug
CVSS 9.8 CRITICAL: improper neutralization of special elements used in a command ('command injection') in Microsoft Bing Images allows… EPSS 1% (63º percentile).
CVSS 9.8 CRITICAL: improper neutralization of special elements used in an os command ('os command injection') in Microsoft Bing Images… EPSS 1% (63º percentile).
The Hacker News
Bing Images Flaws Let Crafted SVGs Run Commands as SYSTEM on Microsoft's Servers
Two Bing image search flaws let crafted SVGs run commands as SYSTEM on Windows workers & root on Linux before Microsoft fixed them server-side.
originaleRiepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-07-24
Every edition of this story: Un file immagine diventa esecuzione di comandi sui worker