Defused のインテリジェンス会社によると、攻撃者は 2 つの Microsoft SharePoint の脆弱性（CVE‑2026‑55040 と CVE‑2026‑63520）を組み合わせ、パッチ未適用のサーバーでリモートコード実行（RCE）を試みている。

CVE‑2026‑55040 は JWT トークン検証段階の認証回避、CVE‑2026‑63520 は Business Connectivity Services（BCS）コンポーネントの欠陥である。Rapid7 の研究者が 8 月 11 日に、VulnCheck の研究者が 8 月 24 日に概念実証（PoC）エクスプロイトを公開した。Defused は、最初の PoC が 1 日で武装化され、8 月 25 日にハニーポットでチェーンが試されたと報告した。実際のコード実行はまだ記録されていない。

Shadowserver は、インターネットに公開されている 8,700 台以上の SharePoint サーバーを監視しているが、そのうちどれだけが脆弱かは不明である。米国サイバーセキュリティ機関 CISA は、8 月 18 日以降、すべての連邦機関に対しこれらの脆弱性の修正を命じた。Microsoft は、2 番目の脆弱性をまだ「実環境での悪用」とは位置付けておらず、広範な攻撃リスクは依然として不確定である。