In der Bildsuche des Technologiekonzerns Microsoft wurden zwei schwerwiegende Sicherheitslücken identifiziert, die eine Remote-Code-Ausführung (RCE) ermöglichten. Die Schwachstellen betreffen die Plattform Bing Images und wurden mit dem dritthöchsten möglichen Wert auf der Common Vulnerability Scoring System (CVSS) Skala eingestuft. Fachleute bewerten die Dringlichkeit der Fehler mit einem Score von 9,8, was auf ein extrem hohes Sicherheitsrisiko hindeutet.
Die unter den Bezeichnungen CVE-2026-32194 und CVE-2026-32191 geführten Schwachstellen erlaubten es nicht authentifizierten Akteuren, potenziell schädliche Systembefehle auszuführen. Dieser Zugriff erfolgte über den Upload speziell präparierter SVG-Dateien (Scalable Vector Graphics). Da das SVG-Format auf XML-Strukturen basiert, boten die Dateiuploads eine Angriffsfläche, die von den Sicherheitsforschern als kritisch eingestuft wurde.
Entdeckung durch Sicherheitsexperten
Die Identifizierung der Sicherheitsmängel geht auf die Arbeit des XBOW security lab zurück. Den Experten zufolge konnten Angreifer die Sicherheitsmechanismen von Bing Images umgehen, ohne über Zugangsdaten oder eine vorherige Authentifizierung verfügen zu müssen. Durch das Einschleusen von Code in die SVG-Grafiken war es möglich, die Kontrolle über Prozesse auf den Servern zu erlangen, die für die Verarbeitung der Bildinhalte zuständig sind.
Der Fall Microsoft zeigt eindrucksvoll, wie schnell neue Sicherheitsrisiken und technologische Entwicklungen Unternehmen vor enorme Herausforderungen stellen. Dieses kostenlose E-Book klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Gratis-Report anfordern
Remote-Code-Execution-Lücken zählen zu den gefährlichsten Arten von Softwareschwachstellen, da sie Dritten erlauben, Befehle auf fremden Systemen so auszuführen, als wären sie direkt am Gerät oder hätten autorisierten Zugriff auf die Serverumgebung. In diesem speziellen Fall betraf die Anfälligkeit die Infrastruktur hinter der Bildverarbeitung von Microsofts Suchmaschine.
Frühzeitige Reaktion und Fehlerbehebung
Obwohl die Details zu den Schwachstellen nun öffentlich bekannt wurden, hatte Microsoft bereits im Vorfeld Maßnahmen zur Absicherung des Dienstes ergriffen. Das Unternehmen hat die betroffenen Lücken im März 2026 geschlossen. Nutzer des Dienstes mussten hierfür keine manuellen Schritte unternehmen, da die Korrekturen direkt an der Cloud-Infrastruktur von Bing vorgenommen wurden.
Da immer mehr Unternehmen zur Zielscheibe von Cyberangriffen werden, ist ein proaktiver Schutz der eigenen IT-Infrastruktur unerlässlich. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken ohne teure Investitionen schließen und Ihr Unternehmen langfristig absichern. Gratis-Ratgeber: IT-Sicherheit effektiv stärken
Die Entdeckung unterstreicht die anhaltenden Herausforderungen bei der Verarbeitung von nutzergenerierten Inhalten im Internet. Insbesondere komplexe Dateiformate wie SVG, die sowohl grafische Informationen als auch Skriptelemente enthalten können, erfordern eine strikte Validierung während des Upload-Prozesses. Die Sicherheitsforscher wiesen darauf hin, dass die erfolgreiche Ausnutzung solcher Lücken weitreichende Folgen für die Integrität von Webdiensten haben kann, sofern sie nicht rechtzeitig durch Sicherheitspatches behoben werden.
In der Cybersecurity-Branche gilt die Meldung solcher Fehler durch spezialisierte Labore als wesentlicher Bestandteil des sogenannten „Responsible Disclosure“-Prozesses. Hierbei werden Schwachstellen zunächst dem Hersteller gemeldet, um diesem Zeit für die Entwicklung und Bereitstellung eines Patches zu geben, bevor die technischen Details der Öffentlichkeit zugänglich gemacht werden. Microsoft konnte durch die Bereitstellung des Updates im Frühjahr die unmittelbare Gefahr abwenden, bevor Berichte über eine aktive Ausnutzung der Schwachstellen durch böswillige Akteure bekannt wurden.
