攻撃者はMicrosoft SharePointに存在するCVE-2026-50522というデシリアライズ脆弱性を悪用し、マシンキーを窃取して、パッチ適用後もシステムに永続的アクセスを確保している。この脆弱性は認証なしでリモートコード実行を可能にし、7月のセキュリティ更新で修正された。

セキュリティ企業watchTowrは、PoC（実証コード）が公開されてから数時間以内に、グローバルなhoneypotネットワークでこの脆弱性を悪用した攻撃を検出。攻撃者は特別に作成された.NET BinaryFormatterペイロードを用いてSharePointサーバーにアクセスし、これらのペイロードがWS-Federation認証エンドポイントに送信されると、ランダムなコードが実行される。

Defusedなどの他のセキュリティ機関も7月17日以降、同様の攻撃を観測したが、当時は脆弱性の正体が不明だった。セキュリティ専門家は、パッチ適用後も影響を受けたシステムでは、資格情報の変更が必須だと強調している。