Un file immagine diventa esecuzione di comandi sui worker
Un converter non dovrebbe mai trattare un’immagine come una fonte di comandi. Qui il varco è stato proprio quello: un SVG controllato dall’esterno è passato nel tier di elaborazione e ha fatto eseguire codice con l’identità del worker, quindi come SYSTEM su Windows e come root su Linux. Il problema non è il browser, ma il backend che conserva privilegi elevati mentre analizza contenuti non fidati.
Microsoft ha corretto due flaw lato server, CVE-2026-32194 e CVE-2026-32191, sui worker di image processing usati da Bing Images. Le prove pubbliche arrivano dopo la remediation: XBOW ha mostrato che lo stesso schema colpiva host e reti diverse della stessa flotta, segno che la falla stava nel percorso di conversione e non in una singola macchina.
Per chi gestisce pipeline di upload o conversione immagini, il punto resta generale: se contenuti controllati dall’utente possono ancora raggiungere un delegate abilitato, il servizio di rendering può diventare un punto di compromissione server-side ad alto privilegio.