XBOWは、Bingの画像検索サービスに送信された特製SVGファイルが、Microsoftの本番サーバー上でNT AUTHORITY\SYSTEM権限でコマンドを実行することを確認した。この脆弱性には二つの経路があった。一つはユーザーがアップロードしたSVGファイル、もう一つはBingBotが外部URLから取得したSVGファイルだった。両方とも認証不要で利用可能だった。

この脆弱性は、ImageMagickなどの画像処理ライブラリが外部デリゲートを有効にしている状況で発生する。SVGファイルは、パイプ文字で始まる参照により、直接システムシェルに転送可能だった。XBOWはこの手法を用いてサーバーのシステム情報を取得し、権限がシステムレベルであることを確認した。

Microsoftは、CVE-2026-32194とCVE-2026-32191の二つの重大な脆弱性を特定し、両方をCVSS 9.8のスコアで評価した。これらの脆弱性は3月に公表されたが、ユーザーへの対応は不要だった。Microsoftは脆弱性が公表される前にサーバー側で完全に修正を完了していた。セキュリティ専門家は、類似のシステムで外部デリゲートを無効化し、許可するファイル形式を制限し、サーバーをネットワークから隔離することが重要だと指摘している。