Veeam Service Provider Consoleでは認証不要の脆弱性が発見され、管理対象エージェントの認証情報が奪取可能となった（CVE-2026-58073、CVSS 9.5）。HashiCorpのTerraform MCPサーバーではクロステナントのトークン再利用脆弱性（CVE-2026-16498）が最大10.0のCVSSスコアで報告され、DjangoのGeoDjangoレイヤーでは空間検索中にファイル書き込みを行うことでリモートコード実行が可能な脆弱性が発見された。

Veeamの脆弱性には認証が不要だが、攻撃の複雑性が高いため、必須のログイン手順がない。このことが高いスコアにもかかわらず攻撃を困難にしている。HashiCorpの脆弱性はStreamable HTTPモードのみに影響し、stdioを使用するシングルユーザー設定は影響を受けない。セッション識別子が欠落しているため、ユーザーのトークンが他のユーザーのリクエストで再利用可能となる。Djangoの脆弱性は、空間フィールドを含むモデルに表示権限があるスタッフアカウントでアクセス可能である。

これらの脆弱性は現在、活発に悪用されているとの報告はなく、CISAのKnown Exploited Vulnerabilitiesリストにも含まれていない。