Bing Images'ta 3 kritik açık: hazırlanmış SVG dosyası Microsoft sunucularında SYSTEM yetkisiyle kod çalıştırabiliyordu
Otonom güvenlik araştırma sistemi XBOW'un bulduğu ve Microsoft'un talebiyle düzeltme yapılana kadar kamuya açıklanmayan üç kritik açık, Bing'in görsel-işleme hattındaki bir SVG ayrıştırma zafiyeti üzerinden üretim sunucularında NT AUTHORITY\SYSTEM yetkisiyle kod çalıştırılmasına izin veriyordu. Tüm açıklar CVSS 9,8 ile 'kritik' sınıflandırıldı ve şu an yamalı durumda.
Güvenlik şirketi XBOW, Microsoft’un Bing Images altyapısında üç kritik uzaktan kod çalıştırma (RCE) açığı tespit etti. Bulgular sorumlu ifşa süreciyle Microsoft’a bildirildi, yama üretime alındıktan sonra kamuya açıklandı.
Açığın teknik kökeni
Bing’in görsel-işleme hattı, SVG dosyalarını ImageMagick benzeri bir motorla “coder” ve “delegate” adı verilen eklentiler üzerinden işliyordu. SVG dosyaları XML tabanlı olduğu için dış kaynaklara referans verebiliyor ya da label:, xc: gibi sözde-protokoller ile boru hattı (pipe) tabanlı komutlar çalıştırabiliyordu. Bu tasarım, kötü niyetli bir SVG’nin işlem motoruna komut sızdırmasına kapı aralıyordu.
Etkilenen bileşenler
- CVE-2026-32194: Bing’in herkese açık “Görsele Göre Ara” (Search by Image) yükleme özelliği üzerinden ulaşılabilen komut enjeksiyonu açığı.
- CVE-2026-32191: Bing’in ters görsel arama tarayıcısına bağlı, sunucu tarafı görsel alım hattını etkileyen ilişkili bir açık.
- Üçüncü açıkla birlikte toplam üç kritik zafiyetin tümü CVSS 9,8 ile “kritik” olarak sınıflandırıldı.
Hazırlanmış bir SVG, Bing’in üretim görsel-işleme sunucularında NT AUTHORITY\SYSTEM yetkisiyle, aynı filodaki Linux makinelerde ise root yetkisiyle komut çalıştırabiliyordu.
Kim buldu
Bulgular, bir insan araştırmacı değil XBOW’un otonom güvenlik tarama sistemi tarafından tespit edildi — bu da şirketi Microsoft’un bug bounty liderlik tablosunun ilk 10’una taşıdı.
Neden önemli
Dünyanın en büyük arama motorlarından birinin görsel-işleme altyapısında SYSTEM yetkisine kadar uzanan bir zincir bulunması, görsel/dosya işleme hatlarının saldırı yüzeyi olarak hâlâ ne kadar kritik olduğunu gösteriyor. Ayrıca bulgunun otonom bir AI sistemi tarafından yapılması, büyük ölçekli güvenlik taramasında yapay zekânın rolünün hızla büyüdüğüne işaret ediyor.
Bulgunun bir insan araştırmacı değil otonom bir yapay-zekâ güvenlik sistemi tarafından tespit edilmiş olması, büyük ölçekli üretim altyapılarının artık AI destekli otomatik taramalarla da sınandığını gösteriyor.
- The Hacker News — Bing Images Flaws Let Crafted SVGs Run Commands as SYSTEM · 2026-07-24
- XBOW — Bing Images RCEs: How XBOW Found Three Critical Flaws · 2026-07-24
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.